There are packages installed that are affected by a vulnerability referenced in the following CVE:

  - undici is an HTTP/1.1 client, written from scratch for Node.js.`undici` is vulnerable to SSRF (Server-side
    Request Forgery) when an application takes in **user input** into the `path/pathname` option of
    `undici.request`. If a user specifies a URL such as `http://127.0.0.1` or `//127.0.0.1` ```js const undici
    = require("undici") undici.request({origin: "http://example.com", pathname: "//127.0.0.1"}) ``` Instead of
    processing the request as `http://example.org//127.0.0.1` (or `http://example.org/http://127.0.0.1` when
    `http://127.0.0.1 is used`), it actually processes the request as `http://127.0.0.1/` and sends it to
    `http://127.0.0.1`. If a developer passes in user input into `path` parameter of `undici.request`, it can
    result in an _SSRF_ as they will assume that the hostname cannot change, when in actual fact it can change
    because the specified path parameter is combined with the base URL. This issue was fixed in
    `undici@5.8.1`. The best workaround is to validate user input before passing it to the `undici.request`
    call. (CVE-2022-35949)

リモートの SUSE Linux SLES12 / SLES_SAP12 ホストには、SUSE-SU-2022:3196-1 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

  - npm パックは、ワークスペースで、またはワークスペースフラグ付きで実行される場合、root レベルの .gitignore および .npmignore ファイル除外ディレクティブを無視します (例:「--workspaces」、「--workspace=<name>」)。v7.9.0 や v7.13.0 では、ワークスペース内で「npm pack」や「npm publish」を実行したことがあるユーザーは、影響を受ける可能性があり、含めるつもりのない npm レジストリにファイルを公開している可能性があります。ユーザーは、パッチが適用された最新の npm v8.11.0 にアップグレードし、npm i -g npm@latest を実行する必要があります。Node.js バージョン v16.15.1、v17.19.1、および v18.3.0 には、パッチが適用された npm の v8.11.0 バージョンが含まれています。(CVE-2022-29244)

  - undici は、Node.js 用にゼロから書かれた HTTP/1.1 クライアントです。5.7.1 より前のバージョンでは、undici でリクエストヘッダーに CRLF シーケンスを挿入することが可能です。バージョン 5.8.0 で修正がリリースされました。
    この問題の回避策となるのは、信頼できないソースからのすべての HTTP ヘッダーをサニタイズして「\r 」を排除することです。
    (CVE-2022-31150)

  - undici は、Node.js 用にゼロから書かれた HTTP/1.1 クライアントです。「=< undici@5.8.0」ユーザーは
    サニタイズされていない入力をリクエストヘッダーとして使用する場合のヘッダー、より具体的には「content-type」ヘッダー内の _CRLF Injection_ に対して脆弱です。例 : ``` import { request } from 'undici' const unsanitizedContentTypeInput = 'application/json\r \rGET /foo2 HTTP/1.1' await request('http://localhost:3000, { method: 'GET', headers: { 'content-type': unsanitizedContentTypeInput }, }) ``` 上記のスニペットは、単一の「request」API 呼び出しで 2 つのリクエストを実行します。1) `http://localhost:3000/` 2) `http://localhost:3000/foo2` この問題は、Undici v5.8.1 でパッチが適用されています。ユーザー入力を回避策として使用して content-type ヘッダーを送信する際に、入力をサニタイズします。(CVE-2022-35948)

  - undici は HTTP/1.1 クライアントであり、Node.js 用にゼロから記述されています。「undici」は、アプリケーションが「undici.request」の「path/pathname」オプションに **ユーザー入力** を取り込んだ場合に、SSRF (サーバーサイドリクエスト偽造) に対して脆弱です。ユーザーが `http://127.0.0.1` または `//127.0.0.1` ``js const undici = require(undici) undici.request({オリジン:http://example.com, パス名: //127.0.0.1}) ``` などの URL を、`http://example.org//127.0.0.1` (または `http://127.0.0.1 が使用される場合は `http://example.org/http://127.0.0.1`) として処理する代わりに指定した場合、実際にはリクエストを `http://127.0.0.1/` として処理し、それを `http://127.0.0.1` に送信します。開発者がユーザー入力を「undici.request」の「path」パラメーターに渡すと、ホスト名は変更できないと想定するため、_SSRF_ が発生する可能性があります。実際には、指定されたパスパラメーターがベース URL と組み合わされているため、変更される可能性があります。この問題は「undici@5.8.1」で修正されました。最善の回避策は、「undici.request」呼び出しに渡す前にユーザー入力を検証することです。(CVE-2022-35949)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

リモートの SUSE Linux SLES15 / openSUSE 15 ホストには、SUSE-SU-2022:3250-1 のアドバイザリに記載されている複数の脆弱性の影響を受けるパッケージがインストールされています。

  - npm パックは、ワークスペースで、またはワークスペースフラグ付きで実行される場合、root レベルの .gitignore および .npmignore ファイル除外ディレクティブを無視します (例:「--workspaces」、「--workspace=<name>」)。v7.9.0 や v7.13.0 では、ワークスペース内で「npm pack」や「npm publish」を実行したことがあるユーザーは、影響を受ける可能性があり、含めるつもりのない npm レジストリにファイルを公開している可能性があります。ユーザーは、パッチが適用された最新の npm v8.11.0 にアップグレードし、npm i -g npm@latest を実行する必要があります。Node.js バージョン v16.15.1、v17.19.1、および v18.3.0 には、パッチが適用された npm の v8.11.0 バージョンが含まれています。(CVE-2022-29244)

  - undici は、Node.js 用にゼロから書かれた HTTP/1.1 クライアントです。5.7.1 より前のバージョンでは、undici でリクエストヘッダーに CRLF シーケンスを挿入することが可能です。バージョン 5.8.0 で修正がリリースされました。
    この問題の回避策となるのは、信頼できないソースからのすべての HTTP ヘッダーをサニタイズして「\r\n」を排除することです。
    (CVE-2022-31150)

  - undici は、Node.js 用にゼロから書かれた HTTP/1.1 クライアントです。「=< undici@5.8.0」ユーザーは
    サニタイズされていない入力をリクエストヘッダーとして使用する場合のヘッダー、より具体的には「content-type」ヘッダー内の _CRLF Injection_ に対して脆弱です。例 : ``` import { request } from 'undici' const unsanitizedContentTypeInput = 'application/json\r\n\r\nGET /foo2 HTTP/1.1' await request('http://localhost:3000, { メソッド: 'GET', ヘッダー: { 'content-type': unsanitizedContentTypeInput }, }) ``` 上記のスニペットは、単一の「request」API 呼び出しで 2 つのリクエストを実行します。1) `http://localhost:3000/` 2) `http://localhost:3000/foo2` この問題は、Undici v5.8.1 でパッチが適用されています。ユーザー入力を回避策として使用して content-type ヘッダーを送信する際に、入力をサニタイズします。(CVE-2022-35948)

  - undici は HTTP/1.1 クライアントであり、Node.js 用にゼロから記述されています。「undici」は、アプリケーションが「undici.request」の「path/pathname」オプションに **ユーザー入力** を取り込んだ場合に、SSRF (サーバーサイドリクエスト偽造) に対して脆弱です。ユーザーが `http://127.0.0.1` または `//127.0.0.1` ``js const undici = require(undici) undici.request({オリジン:http://example.com, パス名: //127.0.0.1}) ``` などの URL を、`http://example.org//127.0.0.1` (または `http://127.0.0.1 が使用される場合は `http://example.org/http://127.0.0.1`) として処理する代わりに指定した場合、実際にはリクエストを `http://127.0.0.1/` として処理し、それを `http://127.0.0.1` に送信します。開発者がユーザー入力を「undici.request」の「path」パラメーターに渡すと、ホスト名は変更できないと想定するため、_SSRF_ が発生する可能性があります。実際には、指定されたパスパラメーターがベース URL と組み合わされているため、変更される可能性があります。この問題は「undici@5.8.1」で修正されました。最善の回避策は、「undici.request」呼び出しに渡す前にユーザー入力を検証することです。(CVE-2022-35949)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

リモートの SUSE Linux SLES15 / openSUSE 15 ホストには、SUSE-SU-2022:3251-1 のアドバイザリに記載されている複数の脆弱性の影響を受けるパッケージがインストールされています。

  - npm パックは、ワークスペースで、またはワークスペースフラグ付きで実行される場合、root レベルの .gitignore および .npmignore ファイル除外ディレクティブを無視します (例:「--workspaces」、「--workspace=<name>」)。v7.9.0 や v7.13.0 では、ワークスペース内で「npm pack」や「npm publish」を実行したことがあるユーザーは、影響を受ける可能性があり、含めるつもりのない npm レジストリにファイルを公開している可能性があります。ユーザーは、パッチが適用された最新の npm v8.11.0 にアップグレードし、npm i -g npm@latest を実行する必要があります。Node.js バージョン v16.15.1、v17.19.1、および v18.3.0 には、パッチが適用された npm の v8.11.0 バージョンが含まれています。(CVE-2022-29244)

  - undici は、Node.js 用にゼロから書かれた HTTP/1.1 クライアントです。5.7.1 より前のバージョンでは、undici でリクエストヘッダーに CRLF シーケンスを挿入することが可能です。バージョン 5.8.0 で修正がリリースされました。
    この問題の回避策となるのは、信頼できないソースからのすべての HTTP ヘッダーをサニタイズして「\r\n」を排除することです。
    (CVE-2022-31150)

  - undici は、Node.js 用にゼロから書かれた HTTP/1.1 クライアントです。「=< undici@5.8.0」ユーザーは
    サニタイズされていない入力をリクエストヘッダーとして使用する場合のヘッダー、より具体的には「content-type」ヘッダー内の _CRLF Injection_ に対して脆弱です。例 : ``` import { request } from 'undici' const unsanitizedContentTypeInput = 'application/json\r\n\r\nGET /foo2 HTTP/1.1' await request('http://localhost:3000, { メソッド: 'GET', ヘッダー: { 'content-type': unsanitizedContentTypeInput }, }) ``` 上記のスニペットは、単一の「request」API 呼び出しで 2 つのリクエストを実行します。1) `http://localhost:3000/` 2) `http://localhost:3000/foo2` この問題は、Undici v5.8.1 でパッチが適用されています。ユーザー入力を回避策として使用して content-type ヘッダーを送信する際に、入力をサニタイズします。(CVE-2022-35948)

  - undici は HTTP/1.1 クライアントであり、Node.js 用にゼロから記述されています。「undici」は、アプリケーションが「undici.request」の「path/pathname」オプションに **ユーザー入力** を取り込んだ場合に、SSRF (サーバーサイドリクエスト偽造) に対して脆弱です。ユーザーが `http://127.0.0.1` または `//127.0.0.1` ``js const undici = require(undici) undici.request({オリジン:http://example.com, パス名: //127.0.0.1}) ``` などの URL を、`http://example.org//127.0.0.1` (または `http://127.0.0.1 が使用される場合は `http://example.org/http://127.0.0.1`) として処理する代わりに指定した場合、実際にはリクエストを `http://127.0.0.1/` として処理し、それを `http://127.0.0.1` に送信します。開発者がユーザー入力を「undici.request」の「path」パラメーターに渡すと、ホスト名は変更できないと想定するため、_SSRF_ が発生する可能性があります。実際には、指定されたパスパラメーターがベース URL と組み合わされているため、変更される可能性があります。この問題は「undici@5.8.1」で修正されました。最善の回避策は、「undici.request」呼び出しに渡す前にユーザー入力を検証することです。(CVE-2022-35949)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

The remote SUSE Linux SLES15 / SLES_SAP15 / openSUSE 15 host has packages installed that are affected by multiple vulnerabilities as referenced in the SUSE-SU-2022:3250-1 advisory.

    - CVE-2022-35949: Fixed SSRF when an application takes in user input into the path/pathname option of     undici.request (bsc#1202382).
    - CVE-2022-35948: Fixed CRLF injection via Content-Type (bsc#1202383).
    - CVE-2022-29244: Fixed npm pack ignores root-level .gitignore and .npmignore file exclusion directives     when run in a workspace (bsc#1200517).
    - CVE-2022-31150: Fixed CRLF injection in node-undici (bsc#1201710).

    Bugfixes:

    - Enable crypto-policies for SLE15 SP4+ and TW (bsc#1200303)

Tenable has extracted the preceding description block directly from the SUSE security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

The remote SUSE Linux SLES15 / SLES_SAP15 / openSUSE 15 host has packages installed that are affected by multiple vulnerabilities as referenced in the SUSE-SU-2022:3251-1 advisory.

    - CVE-2022-35949: Fixed SSRF when an application takes in user input into the path/pathname option of     undici.request (bsc#1202382).
    - CVE-2022-35948: Fixed CRLF injection via Content-Type (bsc#1202383).
    - CVE-2022-29244: Fixed npm pack ignores root-level .gitignore and .npmignore file exclusion directives     when run in a workspace (bsc#1200517).
    - CVE-2022-31150: Fixed CRLF injection in node-undici (bsc#1201710).

    Bugfixes:

    - Enable crypto-policies for SLE15 SP4+ and TW (bsc#1200303)

Tenable has extracted the preceding description block directly from the SUSE security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

The remote SUSE Linux SLES12 / SLES_SAP12 host has packages installed that are affected by multiple vulnerabilities as referenced in the SUSE-SU-2022:3196-1 advisory.

    - CVE-2022-35949: Fixed SSRF when an application takes in user input into the path/pathname option of     undici.request (bsc#1202382).
    - CVE-2022-35948: Fixed CRLF injection via Content-Type (bsc#1202383).
    - CVE-2022-29244: Fixed npm pack ignores root-level .gitignore and .npmignore file exclusion directives     when run in a workspace (bsc#1200517).
    - CVE-2022-31150: Fixed CRLF injection in node-undici (bsc#1201710).

    Bugfixes:

    - Enable crypto-policies for SLE15 SP4+ and TW (bsc#1200303)

Tenable has extracted the preceding description block directly from the SUSE security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
412814	SCA: security update for undici (GHSA-8qr4-xgw6-wmr3)	Tenable Cloud Security	SCA Checks	2025/1/23	2026/7/2	critical
412814	SCA: security update for undici (GHSA-8qr4-xgw6-wmr3)	Tenable Self-Hosted Container Security	SCA Checks	2025/1/23	2026/7/2	critical
195166	GLSA-202405-29：Node.js：多個弱點	Nessus	Gentoo Local Security Checks	2024/5/8	2024/5/8	critical
195166	GLSA-202405-29：Node.js：多个漏洞	Nessus	Gentoo Local Security Checks	2024/5/8	2024/5/8	critical
164902	SUSE SLES12 セキュリティ更新プログラム : nodejs16 (SUSE-SU-2022:3196-1)	Nessus	SuSE Local Security Checks	2022/9/9	2026/6/25	critical
164969	SUSE SLES15 / openSUSE 15 セキュリティ更新: nodejs16 (SUSE-SU-2022:3250-1)	Nessus	SuSE Local Security Checks	2022/9/13	2026/6/25	critical
164977	SUSE SLES15 / openSUSE 15 セキュリティ更新: nodejs16 (SUSE-SU-2022:3251-1)	Nessus	SuSE Local Security Checks	2022/9/13	2026/6/25	critical
164969	SUSE SLES15 / openSUSE 15 Security Update : nodejs16 (SUSE-SU-2022:3250-1)	Nessus	SuSE Local Security Checks	2022/9/13	2026/6/25	critical
164977	SUSE SLES15 / openSUSE 15 Security Update : nodejs16 (SUSE-SU-2022:3251-1)	Nessus	SuSE Local Security Checks	2022/9/13	2026/6/25	critical
164902	SUSE SLES12 Security Update : nodejs16 (SUSE-SU-2022:3196-1)	Nessus	SuSE Local Security Checks	2022/9/9	2026/6/25	critical
195166	GLSA-202405-29 : Node.js: Multiple Vulnerabilities	Nessus	Gentoo Local Security Checks	2024/5/8	2024/5/8	critical

检测

插件搜索

critical

critical

critical

critical

critical

critical

critical

critical

critical

critical

critical