远程主机上安装的 axios Node.js 模块的版本为低于 0.33.0 的 0.28.0 或低于 1.18.0 的 1.x。
因此，该应用程序受到多个漏洞的影响：

  - 当应用程序传递受攻击者控制的 FormData 字段名称（其中包含数千个嵌套括号分隔的段）时，formDataToJSON 中不受控制的递归会在 buildPath（） 中造成不受限制的递归，从而耗尽 JavaScript 调用堆栈并造成拒绝服务。（CVE-2026-67312）

  - 处理包含深度嵌套括号段的 FormData 字段名称时，formDataToJSON 中发生不受控制的递归。攻击者可能会为 FormData 提供包含数千个嵌套括号的字段名称，以耗尽 JavaScript 调用堆栈并触发 RangeError。（CVE-2026-67313）

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且廠商未提供可用的修補程式。

  - 之前0.33.0和1.0.0之前1.18.0的 axios 版本0.28.0在 formDataToJSON 中包含不受控制的遞迴（公開為 axios.formToJSON（），並在使用 Content-Type： application/json 序列化 FormData 時在內部使用）。當應用程式傳遞攻擊者控制的 FormData 欄位名稱時，具有數千個巢狀方括弧分隔區段的欄位名稱會導致 buildPath（） 中無限遞迴，耗盡 JavaScript 呼叫堆疊 （RangeError： Maximum call stack size） 並導致該要求遭到拒絕服務，或在沒有適當錯誤處理的情況下在應用程式中終止處理程序。（CVE-2026-67312）

請注意，Nessus 的判定取決於廠商所報告的套件是否存在。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - 以前0.33.0和1.0.0以前1.18.0的 axios 版本0.28.0在 formDataToJSON 中包含不受控制的递归（暴露为 axios.formToJSON（），并在序列化具有 Content-Type： application/json 的 FormData 时在内部使用）。当应用程序传递受攻击者控制的 FormData 字段名称时，具有数千个嵌套括号分隔段的字段名称可在 buildPath（） 中造成不受限制的递归，耗尽 JavaScript 调用堆栈（RangeError：已超出最大调用堆栈大小）并造成该请求拒绝服务，或在未进行适当错误处理的情况下终止应用程序中的进程。（CVE-2026-67312）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

遠端主機上安裝的 Node.js 模組為 0.33.0 之前的 0.28.0 或 1.18.0 之前的 1.x。
因此，會受到多個弱點影響：

  - 當應用程式傳遞具有數千個巢狀方括弧分隔區段的攻擊者控制的 FormData 欄位名稱時，formDataToJSON 中會發生不受控制的遞迴，導致 buildPath() 中發生無限遞迴，耗盡 JavaScript 呼叫堆疊並造成拒絕服務。(CVE-2026-67312)

  - 處理具有深度巢狀括弧區段的 FormData 欄位名稱時，formDataToJSON 中存在不受控制的遞迴。攻擊者可以向 FormData 提供包含數千個巢狀方括號的欄位名稱，以耗盡 JavaScript 呼叫堆疊並觸發 RangeError。(CVE-2026-67313)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

リモートホストにインストールされている axios Node.js モジュールのバージョンは 0.33.0 より前の 0.28.0、または 1.18.0 より前の 1.x です。
そのため、以下の複数の脆弱性の影響を受けます。

  - アプリケーションが、攻撃者が制御する、括弧で区切られたセグメントが数千個もネストされた FormData フィールド名を formDataToJSON に渡した場合、buildPath() に制御不能な再帰が発生し、JavaScript 呼び出しスタックを使い果たして、サービス拒否を引き起こします。(CVE-2026-67312)

  - 深くネスト化された括弧セグメントのある FormData フィールド名を処理するときの、formDataToJSON における制御不能な再帰。攻撃者が、数千個のネストされた括弧を含むフィールド名を FormData に供給し、JavaScript 呼び出しスタックを使い果たし、RangeError を発生させる可能性があります。(CVE-2026-67313)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - 0.33.0 より前の 0.28.0 と 1.18.0 より前の 1.0.0 からの axios バージョンには、formDataToJSON の制御されていない再帰が含まれています(axios.formToJSON() として公開され、FormData を Content-Type: application/json でシリアル化する際に内部的に使用されます)。アプリケーションが攻撃者の制御下にある FormData フィールド名を渡すとき、何千ものネスト化された括弧で区切られたセグメントを持つフィールド名により、buildPath() で無限の再帰が発生して、JavaScript 呼び出しスタック(RangeError:呼び出しスタックの最大サイズを超えました)が使い果たされ、そのリクエストに対するサービス拒否が引き起こされたり、適切なエラー処理なしにアプリケーションがプロセスが終了したりします。(CVE-2026-67312)

Nessus は、ベンダーから報告されたパッケージの存在に依存していることに注意してください。

The version of the axios Node.js module installed on the remote host is 0.28.0 prior to 0.33.0 or 1.x prior to 1.18.0.
It is, therefore, affected by multiple vulnerabilities:

  - Uncontrolled recursion in formDataToJSON when an application passes attacker-controlled FormData field names     with thousands of nested bracket-delimited segments causes unbounded recursion in buildPath(), exhausting     the JavaScript call stack and causing denial of service. (CVE-2026-67312)

  - Uncontrolled recursion in formDataToJSON when processing FormData field names with deeply nested bracket     segments. Attackers can supply FormData with field names containing thousands of nested brackets to exhaust     the JavaScript call stack and trigger RangeError. (CVE-2026-67313)

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

The Linux/Unix host has one or more packages installed that are impacted by a vulnerability without a vendor supplied patch available.

  - axios versions from 0.28.0 before 0.33.0 and from 1.0.0 before 1.18.0 contain uncontrolled recursion in     formDataToJSON (exposed as axios.formToJSON() and used internally when serializing FormData with Content-     Type: application/json). When an application passes attacker-controlled FormData field names, a field name     with thousands of nested bracket-delimited segments causes unbounded recursion in buildPath(), exhausting     the JavaScript call stack (RangeError: Maximum call stack size exceeded) and causing denial of service for     that request, or process termination in applications without appropriate error handling. (CVE-2026-67312)

Note that Nessus relies on the presence of the package as reported by the vendor.

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
333254	Node.js 模块 axios 0.28.0 < 0.33.0 / 1.x < 1.18.0 DoS	Nessus	Misc.	2026/8/7	2026/9/2	medium
331611	Linux Distros 未修補弱點：CVE-2026-67312	Nessus	Misc.	2026/8/2	2026/9/4	medium
331611	Linux Distros 未修补的漏洞：CVE-2026-67312	Nessus	Misc.	2026/8/2	2026/9/4	medium
333254	Node.js 模組 axios 0.28.0 < 0.33.0 / 1.x < 1.18.0 DoS	Nessus	Misc.	2026/8/7	2026/9/2	medium
333254	Node.js Module axios 0.28.0 < 0.33.0 / 1.x < 1.18.0 DoS	Nessus	Misc.	2026/8/7	2026/9/2	medium
331611	Linux Distros のパッチ未適用の脆弱性: CVE-2026-67312	Nessus	Misc.	2026/8/2	2026/9/4	medium
333254	Node.js Module axios 0.28.0 < 0.33.0 / 1.x < 1.18.0 DoS	Nessus	Misc.	2026/8/7	2026/9/2	medium
331611	Linux Distros Unpatched Vulnerability : CVE-2026-67312	Nessus	Misc.	2026/8/2	2026/9/4	medium

检测

插件搜索

medium

medium

medium

medium

medium

medium

medium

medium