Linux Distros 未修补的漏洞：CVE-2026-109829
high Nessus 插件 ID 366350
语言：
简介
Linux/Unix 主机上安装的一个或多个程序包存在漏洞，但供应商表示不会修补此漏洞。描述
Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。- undici 是用于 Node.js 的 HTTP 客户端库。在 7.0.0 版本中 7.30.08.0.08.12.1，当无源代理使用共享缓存存储按该顺序组合重定向和缓存拦截器时，缓存会在重定向处理程序更改源之前从原始请求 URL 构建其密钥，因此跨源重定向后产生的响应存储在原始密钥下。控制来自受信任 URL 的重定向目标的攻击者可将其响应缓存在受信任的 URL 下并提供给之后的调用者，从而导致持久性缓存中毒，而同一密钥混淆会将对用户特定资源的私密非存储重定向响应存储在原始 URL 下，并提供给之后未经认证的调用程序， 泄露私人数据。仅当使用了无源代理、共享缓存存储以及重定向然后缓存组合时，应用程序才受到影响。undici 7.30.1 和 8.12.2中已修复此问题，其验证生产源在存储前仍匹配缓存密钥并保留每个重定向跃点的缓存控制策略，用户应升级到其中一个版本或更高版本。变通方案是，在重定向拦截器之前构建缓存拦截器、使用各源调度程序和缓存存储，或针对可重定向的请求禁用共享缓存。
(CVE-2026-109829)
请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。
解决方案
目前尚未有任何已知的解决方案。另见
https://access.redhat.com/security/cve/cve-2026-109829
插件详情
严重性: High
ID: 366350
文件名: unpatched_CVE_2026_109829.nasl
版本: 1.2
类型: Local
代理: unix
系列: Misc.
发布时间: 2026/10/16
最近更新时间: 2026/10/17
支持的传感器: Frictionless Assessment AWS, Frictionless Assessment Azure, Frictionless Assessment Agent, Nessus Agent, Agentless Assessment, Tenable Cloud Security, Tenable Self-Hosted Container Security, Nessus
风险信息
VPR
风险因素: Medium
分数: 4.3
百分位: 53.48
CVSS v2
风险因素: Medium
基本分数: 5.8
时间分数: 4.9
矢量: CVSS2#AV:N/AC:M/Au:N/C:P/I:P/A:N
CVSS 分数来源: CVE-2026-109829
CVSS v3
风险因素: High
基本分数: 7.4
时间分数: 6.8
矢量: CVSS:3.0/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:N
时间矢量: CVSS:3.0/E:U/RL:U/RC:C
漏洞信息
CPE: cpe:/o:canonical:ubuntu_linux:24.04:-:lts, cpe:/o:canonical:ubuntu_linux:26.04:-:lts, cpe:/o:centos:centos:8, cpe:/o:debian:debian_linux:12.0, cpe:/o:debian:debian_linux:13.0, cpe:/o:debian:debian_linux:14.0, cpe:/o:redhat:enterprise_linux:10, cpe:/o:redhat:enterprise_linux:8, cpe:/o:redhat:enterprise_linux:9, p-cpe:/a:canonical:ubuntu_linux:node-undici, p-cpe:/a:centos:centos:grafana-selinux, p-cpe:/a:centos:centos:grafana, p-cpe:/a:centos:centos:nodejs-devel, p-cpe:/a:centos:centos:nodejs-docs, p-cpe:/a:centos:centos:nodejs-full-i18n, p-cpe:/a:centos:centos:nodejs-libs, p-cpe:/a:centos:centos:nodejs-nodemon, p-cpe:/a:centos:centos:nodejs-npm, p-cpe:/a:centos:centos:nodejs-packaging-bundler, p-cpe:/a:centos:centos:nodejs-packaging, p-cpe:/a:centos:centos:nodejs22, p-cpe:/a:centos:centos:nodejs24-devel, p-cpe:/a:centos:centos:nodejs24-docs, p-cpe:/a:centos:centos:nodejs24-full-i18n, p-cpe:/a:centos:centos:nodejs24-libs, p-cpe:/a:centos:centos:nodejs24-npm, p-cpe:/a:centos:centos:nodejs24, p-cpe:/a:centos:centos:nodejs26, p-cpe:/a:centos:centos:nodejs, p-cpe:/a:centos:centos:npm, p-cpe:/a:centos:centos:v8-12.4-devel, p-cpe:/a:centos:centos:v8-13.6-devel, p-cpe:/a:debian:debian_linux:node-undici, p-cpe:/a:redhat:enterprise_linux:grafana-selinux, p-cpe:/a:redhat:enterprise_linux:grafana, p-cpe:/a:redhat:enterprise_linux:nodejs-devel, p-cpe:/a:redhat:enterprise_linux:nodejs-docs, p-cpe:/a:redhat:enterprise_linux:nodejs-full-i18n, p-cpe:/a:redhat:enterprise_linux:nodejs-libs, p-cpe:/a:redhat:enterprise_linux:nodejs-nodemon, p-cpe:/a:redhat:enterprise_linux:nodejs-npm, p-cpe:/a:redhat:enterprise_linux:nodejs-packaging-bundler, p-cpe:/a:redhat:enterprise_linux:nodejs-packaging, p-cpe:/a:redhat:enterprise_linux:nodejs22, p-cpe:/a:redhat:enterprise_linux:nodejs24-devel, p-cpe:/a:redhat:enterprise_linux:nodejs24-docs, p-cpe:/a:redhat:enterprise_linux:nodejs24-full-i18n, p-cpe:/a:redhat:enterprise_linux:nodejs24-libs, p-cpe:/a:redhat:enterprise_linux:nodejs24-npm, p-cpe:/a:redhat:enterprise_linux:nodejs24, p-cpe:/a:redhat:enterprise_linux:nodejs26, p-cpe:/a:redhat:enterprise_linux:nodejs, p-cpe:/a:redhat:enterprise_linux:npm, p-cpe:/a:redhat:enterprise_linux:v8-12.4-devel, p-cpe:/a:redhat:enterprise_linux:v8-13.6-devel
必需的 KB 项: Host/local_checks_enabled, Host/cpu, global_settings/vendor_unpatched, Host/OS/identifier
易利用性: No known exploits are available
漏洞发布日期: 2026/10/15
参考资料信息
CVE: CVE-2026-109829