遠端主機上安裝的 Node.js 版本早於 20.20.0、22.22.0、24.13.0、24.13.0、25.3.0。因此，會受到 2026 年 1 月 13 日星期二安全性版本公告中提及的多個弱點影響。

  - Node.js 的權限模型中有一個缺陷，允許透過 futimes() 變更檔案的存取和修改時間戳記，即使處理程序只有讀取權限也是如此。與 utimes() 不同，futimes() 不會套用預期的寫入權限檢查，這表示可在唯讀目錄中修改檔案詮釋資料。此行為可用來以模糊活動的方式變更時間戳記，進而降低記錄的可靠性 (CVE-2025-55132)

  - 使用具有逾時選項的 vm 模組時，Node.js 緩衝區配置邏輯中的一個缺陷，會在配置中斷時使未初始化記憶體曝險。在特定計時情況下，以 Buffer.alloc 和其他 TypedArray 執行個體 (如 Uint8Array) 配置的緩衝區可能含有來自先前作業的剩餘資料，進而允許權杖或密鑰等處理程序中的密碼洩漏或造成資料損毀。雖然刺探利用通常需要精確的計時或處理程序內程式碼執行，但當不受信任的輸入影響工作負載和逾時，便可從遠端刺探利用，進而導致潛在的機密性和完整性影響。影響：感謝 Nikita Skovoroda 報告並修正此弱點。(CVE-2025-55131)

  - Node.js 的特權模型中有一個缺陷，允許攻擊者使用特製的相對符號連結路徑繞過 --allow-fs-read 和 --allow-fs-write 限制。藉由鏈結目錄和符號連結，僅獲授予目前目錄存取權的指令碼可逸出允許的路徑並讀取敏感檔案。這會破壞預期的隔離保證，並啟用任意檔案讀取/寫入，進而導致潛在的系統入侵。影響：感謝 newtmitch 報告此弱點，同時感謝 RafaelGSS 進行修復。(CVE-2025-55130)

  - 包含過大、無效 HPACK 資料的格式錯誤 HTTP/2 HEADERS 框架，可觸發未處理的 TLSSocket 錯誤 ECONNRESET，進而造成 Node.js 損毀。處理程序不會安全關閉連線，而是會損毀，進而導致遠端拒絕服務。這主要會影響未將明確錯誤處置程式附加至安全通訊端的應用程式，例如：server.on('secureConnection', socket => {socket.on('error', err => { console.log(err); }); }); JavaScriptCopy to clipboard 影響：感謝 dantt 回報此弱點，同時感謝 RafaelGSS 進行修復。(CVE-2025-59465)

  - 我們在 Node.js 錯誤處理中發現一個錯誤，其中在啟用 async_hooks.createHook() 時，超過最大呼叫堆疊大小錯誤會變成無法擷取。處理程序並未到達 process.on('uncaughtException')，而會終止，進而使損毀無法復原。依賴 AsyncLocalStorage (v22、v20) 或 async_hooks.createHook() (v24、v22、v20) 的應用程式容易受到特定情況下深度遞回所觸發的拒絕服務損毀影響。此修補程式可改善一個邊緣案例的可複原性，但未移除更大的風險。從空間耗盡狀態中恢復的行為未有明確規範，屬於盡力而為，因此不能作為可用性或安全性的可靠基礎。在遞回深度可能受到未受信任輸入影響的可用性關鍵路徑中，偏好輸入驗證和可限製或避免遞回的設計，而非依賴堆疊空間耗盡行為或執行階段/引擎中缺少尾端呼叫最佳化的設計。如需詳細資訊，請參閱此部落格貼文。影響：感謝 Andrew MacPherson (AndrewMohawk) 發現、aaron_vercel 報告此弱點，同時感謝 mcollina 進行修復。
    (CVE-2025-59466)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且供應商未提供可用的修補程式。

  - Node.js 的權限模型中有一個缺陷，當啟用 `--permission` 時，攻擊者可利用 Unix 網域通訊端 (UDS) 連線，避免受到網路限制影響。即使沒有啟用 `--allow-net`，攻擊者控制的輸入 (例如 URL 或 socketPath 選項) 也可透過 net、tls 或 undici/fetch 連線至任意本機通訊端。這會讓權限模型原本設定的安全邊界如同虛設，攻擊者得以存取具有特權的本機服務，可能會引發特權提升、資料外洩或本機程式碼執行等問題。* 此問題會影響 Node.js v25 版本權限模型的使用者。出現此弱點時，網路權限 (`--allow-net`) 仍處於實驗階段。(CVE-2026-21636)

請注意，Nessus 的判定取決於廠商所報告的套件是否存在。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - Node.js 权限模型中存在缺陷，允许 Unix 域套接字 (UDS) 连接在系统启用了“--permission”时绕过网络限制。即使没有“--allow-net”，攻击者控制的输入（如 URL 或 socketPath 选项）也可通过 net、tls 或 undici/fetch 连接到任意本地套接字。这破坏了权限模型的预期安全边界，并允许访问特权本地服务，从而可能导致特权提升、数据泄露或本地代码执行。*该问题影响使用 Node.js 权限模型的 v25 版本用户。出现此漏洞时，网络权限（“--allow-net”）仍处于试验阶段。(CVE-2026-21636)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

远程主机上安装的 Node.js 版本低于 20.20.0、22.22.0、24.13.0、24.13.0、25.3.0。 因此，它受到 2026 年 1 月 13 日星期二安全版本公告中提及的多个漏洞影响。

  - Node.js 权限模型中的缺陷允许通过 futimes() 更改文件的访问和修改时间戳，即使在进程只有读取权限时也是如此。与 utimes() 不同，futimes() 不会应用预期的写入权限检查，这表示可在只读目录中修改文件元数据。可利用此行为以隐藏活动的方式更改时间戳，从而降低日志的可靠性 (CVE-2025-55132)

  - 使用带超时选项的 vm 模块时，若分配过程中断，Node.js 缓冲区分配逻辑中的缺陷可能导致未初始化内存泄露。在特定时序条件下，通过 Buffer.alloc 和其他 TypedArray 实例（如 Uint8Array）分配的缓冲区可能包含之前操作残留的数据，此漏洞可导致进程内机密信息（如令牌或密码）泄露或数据损坏。要成功利用此漏洞，攻击者通常需要精确控制时序，或能在进程内执行代码，但若攻击者能通过不受信任的输入来影响工作负载或超时机制，则该漏洞可能升级为远程可利用状态，从而对数据的机密性和完整性构成潜在威胁。影响：感谢 Nikita Skovoroda 报告并修复此漏洞。(CVE-2025-55131)

  - Node.js 的权限模型存在缺陷，使攻击者能够利用恶意构建的相对符号链接路径绕过 --allow-fs-read 和 --allow-fs-write 限制。通过串联目录和符号链接，仅拥有当前目录访问权限的脚本可以转义预设路径，从而读取敏感文件。此问题破坏了既定的隔离防护机制，使攻击者能够执行任意文件读取/写入操作，从而造成潜在的系统失陷风险。影响：感谢 natann 报告此漏洞，同时感谢 RafaelGSS 修复此漏洞。(CVE-2025-55130)

  - 包含过大、无效 HPACK 数据的畸形 HTTP/2 HEADERS 帧可能触发未处理的 TLSSocket 错误 ECONNRESET，从而造成 Node.js 崩溃。进程未能安全终止连接，而是发生崩溃，使攻击者得以实施远程拒绝服务攻击。该问题主要影响未将明确错误处理程序附加至安全套接字的应用程序，例如：server.on('secureConnection', socket => {socket.on('error', err => { console.log(err); } ); }); JavaScript复制到剪贴板 影响：感谢 dantt 报告此漏洞，同时感谢 RafaelGSS 修复此漏洞。(CVE-2025-59465)

  - 我们发现 Node.js 错误处理机制中存在一个缺陷：当 async_hooks.createHook() 启用时，系统无法捕获“超出调用堆栈大小上限”错误。进程不会到达 process.on('uncaughtException')，而是直接终止，造成不可恢复的崩溃。在特定条件下，依赖 AsyncLocalStorage（v22、v20）或 async_hooks.createHook()（v24、v22、v20）的应用程序可能因深度递归造成不可恢复的进程崩溃，从而引发拒绝服务攻击。此补丁仅针对某一极端情况改善了系统的可恢复性，但更普遍的风险仍然存在。空间耗尽后的恢复机制缺乏明确规范，仅属于尽力而为的处理方式，无法作为可用性或安全性的可靠依据。在对可用性具有关键影响的路径中，若递归深度可能受到不受信任的输入影响，应优先实施输入验证，并采用能限制或避免递归的设计，而不应依赖运行时/引擎的堆栈空间耗尽行为或尾调用优化缺失作为防护手段。有关详细信息，请参阅此博客文章。影响：感谢 Andrew MacPherson (AndrewMohawk) 识别此漏洞，感谢 aaron_vercel 报告此漏洞，同时也感谢 mcollina 修复此漏洞。
    (CVE-2025-59466)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - Node.js の権限モデルにおける不具合により、「--permission」が有効な場合、Unix ドメインソケット (UDS) 接続を使用してネットワーク制限をバイパスできる可能性があります。「--allow-net」が有効でない場合でも、攻撃者が制御可能な入力 (URL や socketPath オプションなど) を通じて、net、tls、または undici／fetch を使用し、任意のローカルソケットに接続できる可能性があります。これにより、権限モデルで想定されているセキュリティ境界が破られ、特権ローカルサービスへのアクセスが可能となります。その結果、権限昇格、データ漏洩、またはローカルでのコード実行につながる可能性があります。* この問題は、Node.js v25 の権限モデルを使用しているユーザーに影響を与えます。この脆弱性の発見時点では、ネットワーク権限 (「--allow-net」) は依然として実験的段階にあります。(CVE-2026-21636)

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

リモートホストにインストールされている Node.js のバージョンは、20.20.0、22.22.0、24.13.0、24.13.0、25.3.0 より前のものです。したがって、2026 年 1 月 13 日火曜日のセキュリティリリースのアドバイザリに記載されている複数の脆弱性の影響を受けます。

  - Node.js の権限モデルの欠陥により、プロセスに読み取り権限しかない場合でも、futimes() を通じてファイルのアクセスと変更のタイムスタンプが変更される可能性があります。utimes() とは異なり、futimes() は期待される書き込み権限チェックを適用しません。これは、ファイルメタデータが読み取り専用ディレクトリで変更される可能性があることを意味します。この動作は、アクティビティを不明瞭にする形でタイムスタンプを変更するために悪用される可能性があり、ログの信頼性を低下させます。(CVE-2025-55132)

  - Node.js のバッファ割り当てロジックの欠陥により、タイムアウトオプションで vm モジュールを使用する際、割り当てが中断されたときに初期化されていないメモリが漏洩する可能性があります。特定のタイミング条件下で、Buffer.alloc および Uint8Array などの他の TypedArray インスタンスに割り当てられたバッファには、以前の操作からの残っているデータが含まれることがあります。これにより、トークンやパスワードなどのプロセス中の機密情報が漏洩したり、データが破損したりすることができます。通常、エクスプロイトには正確なタイミングまたはプロセス内のコード実行が必要ですが、信頼できない入力がワークロードやタイムアウトに影響すると、リモートからエクスプロイトされる可能性があり、機密性と整合性に潜在的な影響が生じます。影響: この脆弱性を報告および修正してくれた Nikita Skovoroda 氏に感謝の意を表します。(CVE-2025-55131)

  - Node.js の Permissions モデルの欠陥により、攻撃者が細工された相対シンボリックリンクパスを使用して、--allow-fs-read および --allow-fs-write の制限をバイパスする可能性があります。ディレクトリとシンボリックリンクを連鎖させることにより、現在のディレクトリへのアクセスのみを許可されたスクリプトは、許可されたパスを回避して機密ファイルを読み取る可能性があります。これにより、期待される分離の保証が破られ、任意のファイルの読み取り/書き込みが可能になり、システムが危険にさらされる可能性があります。この脆弱性を報告してくれた natann 氏に、および修正してくれた RafaelGSS 氏に感謝の意を表します。(CVE-2025-55130)

  - サイズが大きすぎる無効な HPACK データのある無効な形式の HTTP/2 HEADERS フレームにより、処理されていない TLSSocket エラー ECONNRESET を発生させることで、Node.js がクラッシュする可能性があります。接続を安全に閉じる代わりに、プロセスがクラッシュし、リモートのサービス拒否が引き起こされる可能性があります。これは主に、明示的なエラーハンドラーをセキュアソケットに接続しないアプリケーションに影響します。例: server.on('secureConnection', socket => {socket.on('error', err => { console.log(err); }); }); JavaScript クリップボードにコピー。影響: この脆弱性を報告してくれた dantt と、それを修正してくれた RafaelGSS に感謝します。(CVE-2025-59465)

  - async_hooks.createHook() が有効になっている場合に、最大呼び出しスタックサイズ超過エラーがキャッチできなくなるという Node.js エラー処理のバグを特定しました。process.on('uncaughtException') に到達する代わりに、プロセスが終了し、クラッシュが回復不能になります。AsyncLocalStorage (v22、v20) または async_hooks.createHook() (v24、v22、v20) に依存するアプリケーションは、特定の条件下での深い再帰によって引き起こされるサービス拒否クラッシュに対して脆弱になります。このパッチにより、あるエッジケースでの回復性は向上しますが、より広範なリスクは除去されません。スペース不足からの回復は不特定かつベストエフォートの動作であり、可用性やセキュリティの信頼できる前提にはなりません。信頼できない入力によって再帰の深さが影響を受ける可能性がある可用性のクリティカルパスでは、スタックスペースの枯渇動作やランタイム/エンジンでの末尾呼び出しの最適化の欠如に依存するのではなく、入力検証と再帰を制限または回避する設計を優先します。詳細については、このブログ投稿を参照してください。影響: この脆弱性を特定してくれた Andrew MacPherson 氏 (AndrewMohawk) と、この脆弱性を報告してくれた aaron_vercel、そしてこの脆弱性を修正してくれた mcollina に感謝の意を表します。
    (CVE-2025-59466)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

The Linux/Unix host has one or more packages installed that are impacted by a vulnerability without a vendor supplied patch available.

  - A flaw in Node.js's permission model allows Unix Domain Socket (UDS) connections to bypass network     restrictions when `--permission` is enabled. Even without `--allow-net`, attacker-controlled inputs (such     as URLs or socketPath options) can connect to arbitrary local sockets via net, tls, or undici/fetch. This     breaks the intended security boundary of the permission model and enables access to privileged local     services, potentially leading to privilege escalation, data exposure, or local code execution. * The issue     affects users of the Node.js permission model on version v25. In the moment of this vulnerability, network     permissions (`--allow-net`) are still in the experimental phase. (CVE-2026-21636)

Note that Nessus relies on the presence of the package as reported by the vendor.

The version of Node.js installed on the remote host is prior to 20.20.0, 22.22.0, 24.13.0, 24.13.0, 25.3.0. It is, therefore, affected by multiple vulnerabilities as referenced in the Tuesday, January 13, 2026 Security Releases advisory.

  - A flaw in Node.js's permission model allows a file's access and modification timestamps to be changed via     futimes() even when the process has only read permissions. Unlike utimes(), futimes() does not apply the     expected write-permission checks, which means file metadata can be modified in read-only directories. This     behavior could be used to alter timestamps in ways that obscure activity, reducing the reliability of logs     (CVE-2025-55132)

  - A flaw in Node.js's buffer allocation logic can expose uninitialized memory when allocations are     interrupted, when using the vm module with the timeout option. Under specific timing conditions, buffers     allocated with Buffer.alloc and other TypedArray instances like Uint8Array may contain leftover data from     previous operations, allowing in-process secrets like tokens or passwords to leak or causing data     corruption. While exploitation typically requires precise timing or in-process code execution, it can     become remotely exploitable when untrusted input influences workload and timeouts, leading to potential     confidentiality and integrity impact. Impact: Thank you, to Nikita Skovoroda for reporting and fixing this     vulnerability. (CVE-2025-55131)

  - A flaw in Node.js's Permissions model allows attackers to bypass --allow-fs-read and --allow-fs-write     restrictions using crafted relative symlink paths. By chaining directories and symlinks, a script granted     access only to the current directory can escape the allowed path and read sensitive files. This breaks the     expected isolation guarantees and enables arbitrary file read/write, leading to potential system     compromise. Impact: Thank you, to natann for reporting this vulnerability and thank you RafaelGSS for     fixing it. (CVE-2025-55130)

  - A malformed HTTP/2 HEADERS frame with oversized, invalid HPACK data can cause Node.js to crash by     triggering an unhandled TLSSocket error ECONNRESET. Instead of safely closing the connection, the process     crashes, enabling a remote denial of service. This primarily affects applications that do not attach     explicit error handlers to secure sockets, for example: server.on('secureConnection', socket => {     socket.on('error', err => { console.log(err); }); }); JavaScriptCopy to clipboard Impact: Thank you, to     dantt for reporting this vulnerability and thank you RafaelGSS for fixing it. (CVE-2025-59465)

  - We have identified a bug in Node.js error handling where Maximum call stack size exceeded errors become     uncatchable when async_hooks.createHook() is enabled. Instead of reaching process.on('uncaughtException'),     the process terminates, making the crash unrecoverable. Applications that rely on AsyncLocalStorage (v22,     v20) or async_hooks.createHook() (v24, v22, v20) become vulnerable to denial-of-service crashes triggered     by deep recursion under specific conditions. This patch improves recoverability in one edge case, but it     does not remove the broader risk. Recovery from space exhaustion is unspecified, besteffort behavior and     is not a reliable basis for availability or security. In availabilitycritical paths where recursion depth     may be influenced by untrusted input, prefer input validation and designs that bound or avoid recursion     rather than depending on stack space exhaustion behavior or the lack of tailcall optimizations in the     runtime/engine. See this blog post for details. Impact: Thank you, to Andrew MacPherson (AndrewMohawk) for     identifying & aaron_vercel for reporting this vulnerability and thank you mcollina for fixing it.
    (CVE-2025-59466)

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
282656	Node.js 20.x < 20.20.0 / 22.x < 22.22.0 / 24.x < 24.13.0 / 24.x < 24.13.0 / 25.x < 25.3.0 多個弱點 (2026 年 1 月 13 日星期二安全性版本)。	Nessus	Misc.	2026/1/13	2026/4/30	medium
286807	Linux Distros 未修補的弱點：CVE-2026-21636	Nessus	Misc.	2026/1/15	2026/4/29	critical
286807	Linux Distros 未修补的漏洞：CVE-2026-21636	Nessus	Misc.	2026/1/15	2026/4/29	critical
282656	Node.js 20.x < 20.20.0 / 22.x < 22.22.0 / 24.x < 24.13.0 / 24.x < 24.13.0 / 25.x < 25.3.0 多个漏洞（2026 年 1 月 13 日星期二安全版本）。	Nessus	Misc.	2026/1/13	2026/4/30	medium
286807	Linux Distros のパッチ未適用の脆弱性: CVE-2026-21636	Nessus	Misc.	2026/1/15	2026/4/29	critical
282656	Node.js 20.x < 20.20.0 / 22.x < 22.22.0 / 24.x < 24.13.0 / 24.x < 24.13.0 / 25.x < 25.3.0 複数の脆弱性 (2026 年 1 月 13 日火曜日のセキュリティリリース)。	Nessus	Misc.	2026/1/13	2026/4/30	medium
286807	Linux Distros Unpatched Vulnerability : CVE-2026-21636	Nessus	Misc.	2026/1/15	2026/4/29	critical
282656	Node.js 20.x < 20.20.0 / 22.x < 22.22.0 / 24.x < 24.13.0 / 24.x < 24.13.0 / 25.x < 25.3.0 Multiple Vulnerabilities (Tuesday, January 13, 2026 Security Releases).	Nessus	Misc.	2026/1/13	2026/4/30	medium

检测

插件搜索

medium

critical

critical

medium

critical

medium

critical

medium