远程 Oracle Linux 8 主机上安装的程序包受到 ELSA-2021-0549 公告中提及的多个漏洞的影响。

  - 这会影响 1.0.1 之前的 npm-user-validate 程序包。用于验证用户电子邮件的 regex 在处理以 @ 字符开头的长输入字符串时花费的时间呈指数增长。(CVE-2020-7754)

  - 在 1.3.2 及 2.0.0 之前的版本中，mixin-deep 容易受到原型污染的影响。函数 mixin-deep 可能遭到诱骗，使用构造函数负载添加或修改 Object.prototype 的属性。(CVE-2019-10746)

  - 在低于 3.0.1 的版本中，set-value 容易受到原型污染的影响。函数 mixin-deep 可能遭到诱骗，使用构造函数、原型和 _proto_ payloads 中的任意一项添加或修改 Object.prototype 的属性。(CVE-2019-10747)

  - 这会影响 1.3.6 之前的 ini 程序包。如果攻击者向应用程序提交恶意 INI 文件，该应用程序使用 ini.parse 进行解析，则恶意文件将污染该应用程序上的原型。此问题可根据环境被进一步利用。 (CVE-2020-7788)

  - 10.23.1、12.20.1、14.15.4、15.5.1 之前的 Node.js 版本容易受到其 TLS 实现中的释放后使用错误的影响。写入启用 TLS 的套接字时，node: : StreamBase: : Write 调用 node: : TLSWrap: : DoWrite，并将新分配的 WriteWrap 对象作为第一个参数。如果 DoWrite 方法未返回错误，则此对象会作为 StreamWriteResult 结构的一部分传回调用程序。此漏洞可被利用来损坏内存，从而导致拒绝服务或可能的其他利用情况。(CVE-2020-8265)

  - 10.23.1、12.20.1、14.15.4、15.5.1 之前的 Node.js 版本允许一个 HTTP 请求中存在两个标头字段副本（例如，两个传输编码标头字段）。在此情况下，Node.js 会识别第一个标头字段，忽略第二个标头字段。这可导致 HTTP 请求走私。(CVE-2020-8287)

请注意，Nessus 尚未测试此问题，而是只依赖于应用程序自我报告的版本号。

远程 Redhat Enterprise Linux 8 主机上安装的程序包受到 RHSA-2021: 0549 公告中提及的多个漏洞的影响。

  - nodejs-deep-extend：原型污染可允许攻击者修改对象属性 (CVE-2018-3750)

  - nodejs-mixin-deep：函数 mixin-deep 中的原型污染 (CVE-2019-10746)

  - nodejs-set-value：函数 set-value 中的原型污染 (CVE-2019-10747)

  - nodejs-npm-user-validate：在验证用户电子邮件时未正确验证输入导致 ReDoS (CVE-2020-7754)

  - nodejs-ini：通过恶意的 INI 文件造成原型污染 (CVE-2020-7788)

  - nodejs：TLS 实施中的释放后使用 (CVE-2020-8265)

  - nodejs：通过 http 请求中标头字段的两个副本进行 HTTP 请求走私 (CVE-2020-8287)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Redhat Enterprise Linux 7 主机上安装的程序包受到 RHSA-2021: 0485 公告中提及的多个漏洞影响。

  - nodejs-deep-extend：原型污染可允许攻击者修改对象属性 (CVE-2018-3750)

  - nodejs-mixin-deep：函数 mixin-deep 中的原型污染 (CVE-2019-10746)

  - nodejs-set-value：函数 set-value 中的原型污染 (CVE-2019-10747)

  - nodejs-npm-user-validate：在验证用户电子邮件时未正确验证输入导致 ReDoS (CVE-2020-7754)

  - nodejs-ini：通过恶意的 INI 文件造成原型污染 (CVE-2020-7788)

  - nodejs：TLS 实施中的释放后使用 (CVE-2020-8265)

  - nodejs：通过 http 请求中标头字段的两个副本进行 HTTP 请求走私 (CVE-2020-8287)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 CentOS Linux 8 主机上安装的程序包受到 CESA-2021: 0549 公告中提及的多个漏洞的影响。

  - nodejs-deep-extend：原型污染可允许攻击者修改对象属性 (CVE-2018-3750)

  - nodejs-mixin-deep：函数 mixin-deep 中的原型污染 (CVE-2019-10746)

  - nodejs-set-value：函数 set-value 中的原型污染 (CVE-2019-10747)

  - nodejs-npm-user-validate：在验证用户电子邮件时未正确验证输入导致 ReDoS (CVE-2020-7754)

  - nodejs-ini：通过恶意的 INI 文件造成原型污染 (CVE-2020-7788)

  - nodejs：TLS 实施中的释放后使用 (CVE-2020-8265)

  - nodejs：通过 http 请求中标头字段的两个副本进行 HTTP 请求走私 (CVE-2020-8287)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
146636	Oracle Linux 8：nodejs: 12 (ELSA-2021-0549)	Nessus	Oracle Linux Local Security Checks	2021/2/19	2024/1/22	critical
146536	RHEL 8：nodejs: 12 (RHSA-2021: 0549)	Nessus	Red Hat Local Security Checks	2021/2/16	2024/4/28	critical
194919	Splunk Enterprise <8.1.14、8.2.0 < 8.2.11、9.0.0 < 9.0.5 (SVD-2023-0613)	Nessus	CGI abuses	2024/5/2	2024/5/30	critical
165165	RHEL 7：rh-nodejs12-nodejs (RHSA-2021: 0485)	Nessus	Red Hat Local Security Checks	2022/9/15	2024/4/28	critical
146539	CentOS 8：nodejs: 12 (CESA-2021: 0549)	Nessus	CentOS Local Security Checks	2021/3/11	2024/1/10	critical

检测

插件搜索

critical

critical

critical

critical

critical