Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - 当服务器使用客户端从未请求过的子协议进行响应时，undici 的 WebSocket 客户端会在打开握手期间使整个 Node.js 进程崩溃。默认 WebSocket 连接不发送任何子协议，但如果服务器的 101 响应包含 Sec-WebSocket-Protocol 标头，则 undici 会在对照请求的列表检查空值时取消引用该值并抛出未捕获的 TypeError。
    由于该代码在没有周围错误处理的微任务中运行，因此异常会根据节点的默认行为传播并终止进程，而不是按照 WebSocket 协议的要求妥善地使连接失败。在未经身份验证的情况下，任何在默认配置下未经身份验证的应用程序，向攻击者控制或遭到破坏的服务器打开 WebSocket 的任何应用程序，或通过中间人的明文连接打开 WebSocket 的应用程序，都可在未经身份验证的情况下，以默认配置进行远程崩溃。这会影响最高到 6.28.1、 和 7.0.07.29.1最高到 8.10.2的 8.0.0 undici 版本6.7.0。用户应升级到 undici 6.28.1、 7.29.1或 8.10.2。（CVE-2026-19534）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

检测

Linux Distros 未修补的漏洞：CVE-2026-19534

high Nessus 插件 ID 342844

版本 1.12