远程 RockyLinux 9 主机上安装的多个程序包受到 RLSA-2026:35891 公告中提及的多个漏洞影响。

    * ip-address：ip-address：通过对不受信任的输入进行不当 HTML 转义造成跨站脚本 (CVE-2026-42338)

    * undici：undici：通过 WebSocket 帧造成的无限制内存增长导致拒绝服务 (CVE-2026-12151)

    * undici：Undici：未正确解析缓存控制标头导致信息泄露 (CVE-2026-9678)

    * undici：Undici：在重用的保持活动套接字上的响应队列中毒可导致错误的响应传递。(CVE-2026-6733)

    * undici：undici：错误解析 Set-Cookie 标头导致 cookie SameSite 策略变弱 (CVE-2026-11525)

    * undici：undici：通过忽略的 TLS 选项和 SOCKS5 代理进行中间人攻击 (CVE-2026-9697)

    * undici：undici：Socks5ProxyAgent 连接路由不正确导致信息泄露和数据完整性问题 (CVE-2026-6734)

    * nodejs：Node.js：通过无限 HTTP/2 ORIGIN 帧造成拒绝服务 (CVE-2026-48619)

    * nodejs：Node.js：由于 TLS 处理中的 embedded-nul 主机名导致静默颁发机构重新绑定 (CVE-2026-48930)

    * nodejs：Node.js：未经授权的文件元数据修改 (CVE-2026-48935)

    * nodejs：Node.js WebCrypto：通过对 subtle.encrypt() 的大量输入造成拒绝服务 (CVE-2026-48933)

    * nodejs：Node.js：TLS 主机验证中的证书验证绕过 (CVE-2026-48934)

    * Node.js：Node.js：主机名匹配不一致导致信任策略绕过 (CVE-2026-48928)

    * nodejs：Node.js：通过代理隧道错误处理泄露代理凭据信息 (CVE-2026-48615)

    * nodejs：Node.js：TLS 主机名处理和 unicode 点分隔符不匹配导致身份验证绕过 (CVE-2026-48618)

    错误修复和增强功能：

    * nodejs:24/nodejs：衍合到最新的 Node.js 24 版本 [rhel-9.8.z](JIRA:Rocky Linux-186580)

Tenable 已直接从 RockyLinux 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

检测

RockyLinux 9 : nodejs:24 (RLSA-2026:35891)

medium Nessus 插件 ID 325298

版本 1.1