远程 AlmaLinux 10 主机上安装的程序包受到 ALSA-2026:35841 公告中提及的多个漏洞影响。

    * ip-address：ip-address：通过对不受信任的输入进行不当 HTML 转义造成跨站脚本 (CVE-2026-42338)
      * undici：undici：通过 WebSocket 帧造成的无限制内存增长导致拒绝服务 (CVE-2026-12151)
      * undici：Undici：未正确解析缓存控制标头导致信息泄露 (CVE-2026-9678)
      * undici：Undici：在重用的保持活动套接字上的响应队列中毒可导致错误的响应传递。(CVE-2026-6733)
      * undici：undici：错误解析 Set-Cookie 标头导致 cookie SameSite 策略变弱 (CVE-2026-11525)
      * undici：undici：通过忽略的 TLS 选项和 SOCKS5 代理进行中间人攻击 (CVE-2026-9697)
      * undici：undici：Socks5ProxyAgent 连接路由不正确导致信息泄露和数据完整性问题 (CVE-2026-6734)
      * nodejs：Node.js：通过无限 HTTP/2 ORIGIN 帧造成拒绝服务 (CVE-2026-48619)
      * nodejs：Node.js：由于 TLS 处理中的 embedded-nul 主机名导致静默颁发机构重新绑定 (CVE-2026-48930)
      * nodejs：Node.js：未经授权的文件元数据修改 (CVE-2026-48935)
      * nodejs：Node.js WebCrypto：通过对 subtle.encrypt() 的大量输入造成拒绝服务 (CVE-2026-48933)
      * nodejs：Node.js：TLS 主机验证中的证书验证绕过 (CVE-2026-48934)
      * Node.js：Node.js：主机名匹配不一致导致信任策略绕过 (CVE-2026-48928)
      * nodejs：Node.js：通过代理隧道错误处理泄露代理凭据信息 (CVE-2026-48615)
      * nodejs：Node.js：TLS 主机名处理和 unicode 点分隔符不匹配导致身份验证绕过 (CVE-2026-48618)


    错误修复和增强功能：

      * nodejs24：衍合到最新的 Node.js 24 版本 [almalinux-10.2.z] (JIRA:AlmaLinux-186582)

Tenable 已直接从 AlmaLinux 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

检测

AlmaLinux 10：nodejs24 (ALSA-2026:35841)

medium Nessus 插件 ID 325263

版本 1.1