因此，该软件受到 ALAS2023-2026-1921 公告中提及的多个漏洞影响。

    undici 解析 Set-Cookie 标头时，会接受包含 Strict、Lax 或 None 作为子字符串的任何 SameSite 属性值，而不是 RFC 6265 指定的不区分大小写的完全匹配。非规范值静默映射到三种标准标记之一：

    SameSite=NoneOfYourBusiness 被解析为 None，这是最宽松的设置。SameSite=StrictLax 被解析为 Lax，这是从 Strict.Strict 降级的应用程序。受影响的应用程序是那些消耗来自服务器响应的 Set-Cookie 标头（例如通过 undici 的提取或代理代码路径），然后转发或依赖解析的 sameSite 属性的应用程序。恶意或不合规的服务器可将使用者对 cookie 的 SameSite 策略的视图强制转换为较弱的值，从而静默地降级 cookie 应提供的 SameSite 强制执行。

    这在添加 cookie 功能时在 undici 5.15.0 中引入。（CVE-2026-11525）

    低于 3.53.2 的 SQLite 在其 FTS5 全文检索扩展有内存损坏漏洞，允许攻击者通过提供具有畸形 FTS5 页面数据的构建数据库，造成进程崩溃、内存耗尽或任意代码执行。攻击者可通过攻击者控制的循环边界触发 fts5LeafSeek() 函数中的越界读取，或通过特制的续页引发整数下溢，进而导致 fts5ChunkIterate() 函数发生堆缓冲区溢出写入。当对恶意数据库执行 FTS5 MATCH 查询时，该漏洞即可被利用。(CVE-2026-11822)

    低于 3.53.2 的 SQLite 在其 FTS5 全文检索扩展有内存损坏漏洞，允许攻击者通过提供具有畸形 FTS5 页面数据的构建数据库，造成进程崩溃、内存耗尽或任意代码执行。攻击者可触发 fts5ChunkIterate() 函数中的整数下溢，导致在处理 FTS5 MATCH 查询时，程序计算出的剩余字节数被异常夸大。这将引发堆缓冲区溢出，使攻击者可控的数据被写入内存。该漏洞存在于启用了 SQLITE_ENABLE_FTS5 宏编译的应用程序中。(CVE-2026-11824)

    undici WebSocket 客户端对消息中片段的累积字节计数强制执行 maxPayloadSize，但未对片段数量强制实施限制。恶意 WebSocket 服务器可以流式传输许多小的或空的连续帧，每个帧都通过每一帧和累积大小验证，共同导致客户端进程中内存无限增长。其结果是内存耗尽和拒绝服务。

    受影响的应用程序是那些使用 undici WebSocket 客户端（新 WebSocket（...））或 WebSocketStream API 的应用程序，可被引诱连接到受攻击者控制或受到破坏的 WebSocket 端点。

    以 undici 6.17.0 开始的所有版本均受到影响。（CVE-2026-12151）

    - Node.js代理隧道错误处理中的缺陷可在 ERR_PROXY_TUNNEL错误消息中暴露代理凭据。

    当代理 URL 中嵌入代理凭据时，它们可能会通过错误处理路径暴露出来，并由日志、诊断或其他错误使用者捕获。

    此漏洞影响所有受支持的版本系列：Node.js 22、Node.js 24 和 Node.js 26。
    (CVE-2026-48615)

    Node.js Permission Model 强制执行中的缺陷允许通过“process.report.writeReport（）”路径误验证绕过。这可导致机密性影响或在受影响的配置中绕过预期安全边界。此漏洞影响所有受支持的版本系列：**Node.js 22**、**Node.js 24** 和 **Node.js 26**。(CVE-2026-48617)

    - Node.js TLS 主机名处理中的缺陷可造成 Unicode 点分隔符处理 Node.js 从而导致 TLS 通配符深度认证绕过，原因是解析器和校验器主机名规范化不匹配。

    这可导致机密性影响或在受影响的配置中绕过预期安全边界。

    此漏洞影响所有受支持的版本系列：Node.js 22、Node.js 24 和 Node.js 26。
    (CVE-2026-48618)

    HTTP/2 客户端 Node.js 缺陷允许服务器发送无限数量的 ORIGIN 帧，这可在客户端上导致内存不足错误。

    此漏洞影响所有受支持的版本系列：Node.js 22、Node.js 24 和 Node.js 26。
    (CVE-2026-48619)

    主机名匹配 Node.js 不一致可造成多上下文 mTLS 设置中的信任策略绕过。

    此漏洞影响所有受支持的版本系列：Node.js 22、Node.js 24 和 Node.js 26。
    (CVE-2026-48928)

    Node.js TLS 主机名处理中的缺陷可造成以下情况：Embedded-nul 主机名可导致静默颁发机构重新绑定，原因是解析器绑定中的 c 字符串截断。

    此漏洞影响所有受支持的版本系列：Node.js 22、Node.js 24 和 Node.js 26。
    (CVE-2026-48930)

    HTTP 代理 Node.js 缺陷可导致客户端将发送请求前发送的响应视为有效。

    此漏洞影响所有受支持的版本系列：Node.js 22、Node.js 24 和 Node.js 26。
    (CVE-2026-48931)

    如果 subtle.encrypt() 的输入为 2GiB 的倍数 Node.js 则 WebCrypto 实现中的缺陷可导致进程崩溃。

    此漏洞影响所有受支持的版本系列：Node.js 22、Node.js 24 和 Node.js 26。
    (CVE-2026-48933)

    Node.js TLS 主机验证中的缺陷可导致攻击者绕过证书验证。

    此漏洞影响所有受支持的版本系列：Node.js 22、Node.js 24 和 Node.js 26。
    (CVE-2026-48934)

    Node.js 权限 API 中存在一个缺陷，允许修改文件的元数据，即使该文件所在路径已被设置为只读，例如 --allow-fs-read。

    此漏洞影响所有受支持的版本系列：Node.js 22、Node.js 24 和 Node.js 26。
    (CVE-2026-48935)

    HTTP/2 服务器 API Node.js缺陷可造成服务器在发送“GOAWAY”帧之后仍继续接受数据。此漏洞影响两个受支持的版本系列：**Node.js 22** 和 **Node.js 24**。
    (CVE-2026-48937)

    Undici 的 HTTP/1.1 客户端容易在重用的保持活动套接字上出现响应队列毒化。请求完成后，攻击者控制的上游服务器可主动将 HTTP/1.1 响应注入到闲置的套接字。客户端在该套接字上调度下一个请求时，会将注入的响应与新请求相关联，从而导致将响应发送给错误的请求。

    这需要攻击者控制或遭到入侵的上游 HTTP/1.1 服务器，以及保持活动状态的连接重用。(CVE-2026-6733)

    parseSetCookie 中 undici 的 cookie 解析器通过 qsUnescape 对 cookie 值进行百分比解码，将 %0D%0A、%00、%3B 和 %3D 等编码序列转换为其文字字节等价物。RFC 6265 SS5.4 未指定任何解码，浏览器也不会解码。

    解析 Set-Cookie 标头然后将解析后的值转发到响应标头（代理、中间件、SSR 框架）的应用程序容易受到 HTTP 响应头注入攻击：攻击者控制的上游可将任意 Set-Cookie、Location 或 Cache-Control 标头注入应用程序的下游响应，从而实现会话固定、开放重定向或缓存中毒。

    使用 undici 的 cookie 解析（parseSetCookie、parseCookie、getSetCookies）并将解析的 cookie 值转发到响应头的应用程序受到影响。

    这在 undici 7.0.0 (CVE-2026-9679) 中引入

Tenable 已直接从测试产品的安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

检测

Amazon Linux 2023 : nodejs22、nodejs22-devel、nodejs22-full-i18n (ALAS2023-2026-1921)

high Nessus 插件 ID 327401

版本 1.1