远程iraclelinux 9 主机上存在安装的程序包该程序包受到 AXSA:2026-209:01 公告中提及的多个漏洞的影响。

    * nodejsNodejs 文件系统权限绕过 (CVE-2025-55132)
      * nodejsNodejs 拒绝服务 (CVE-2026-21637)
      * nodejsNodejs 拒绝服务 (CVE-2025-59466)
      * nodejsNodejs 拒绝服务 (CVE-2025-59465)
      * nodejsNodejs 未初始化内存泄露 (CVE-2025-55131)
      * nodejsNodejs 文件权限绕过 (CVE-2025-55130)

Tenable 已直接从 MiracleLinux 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程iraclelinux 9 主机上存在安装的程序包该程序包受到 AXSA:2026-212:01 公告中提及的多个漏洞的影响。

    * nodejsNodejs 文件系统权限绕过 (CVE-2025-55132)
      * nodejsNodejs 拒绝服务 (CVE-2026-21637)
      * nodejsNodejs 拒绝服务 (CVE-2025-59466)
      * nodejsNodejs 拒绝服务 (CVE-2025-59465)
      * nodejsNodejs 未初始化内存泄露 (CVE-2025-55131)
      * nodejsNodejs 文件权限绕过 (CVE-2025-55130)

Tenable 已直接从 MiracleLinux 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程主机上运行的 Tenable Identity Exposure 版本低于 3.77.17。因此根据公告受到多个漏洞的影响 TNS-2026-11

  - Node.js 的权限模型存在缺陷，使攻击者能够利用恶意构建的相对符号链接路径绕过 --allow-fs-read 和 --allow-fs-write 限制。通过串联目录和符号链接，仅拥有当前目录访问权限的脚本可以转义预设路径，从而读取敏感文件。这会破坏预期的隔离保证并启用任意文件读取/写入从而可能导致系统受损。 (CVE-2025-55130)

  - 对 SQL Server 中指定的输入类型的不当验证允许经授权的攻击者通过网络提升权限。 (CVE-2026-26115)

  - Curl 中不当的访问控制允许授权的攻击者通过网络提升权限。
    (CVE-2026-21262)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程主机上运行的 Tenable Identity Exposure 版本低于 3.77.17。因此，根据通 TNS-2026-11告，它受到多重漏洞的影响：

  - Node.js权限模型中的一个缺陷允许攻击者通过精心设计的相对符号链接路径绕过“--allow-fs-read''和'--allow-fs-write''限制。通过串联目录和符号链接，仅拥有当前目录访问权限的脚本可以转义预设路径，从而读取敏感文件。此问题破坏了既定的隔离防护机制，使攻击者能够执行任意文件读取/写入操作，从而造成潜在的系统失陷风险。
    该漏洞影响了 v20、v22、v24 和 v25 权限模型的用户Node.js。（CVE-2025-55130）

  - SQL Server 中不当的访问控制允许授权攻击者通过网络提升权限。
    (CVE-2026-21262)

  - SQL Server 中对特定类型输入的不当验证使授权攻击者能够在网络上提升权限。（CVE-2026-26115）

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Redhat Enterprise Linux 10 主机上安装的程序包受到 RHSA-2026:7675 公告中提及的多个漏洞影响。

    Node.js 是一个构建在 Chrome 的 JavaScript 运行时基础上的平台，用于轻松构建快速、可扩展的网络应用程序。Node.js 使用事件驱动的非阻断 I/O 模型，这使其轻便而高效，非常适合于在分散的设备上运行的数据密集型实时应用程序。

    安全修复：

    * nodejs：Nodejs 拒绝服务 (CVE-2026-21637)

    * brace-expansion: brace-expansion：通过不受限制的大括号扩展导致的拒绝服务 (CVE-2026-25547)

    * minimatch：minimatch：通过特别构建的 glob 模式导致的拒绝服务 (CVE-2026-26996)

    * undici：Undici：由于资源消耗不受控制导致拒绝服务 (CVE-2026-2581)

    * undici：Undici：HTTP 标头注入和请求走私漏洞 (CVE-2026-1527)

    * undici：undici：在 WebSocket permessage-deflate 解压缩期间，因内存消耗不受限制导致拒绝服务 (CVE-2026-1526)

    * undici：Undici：通过无效 WebSocket permessage-deflate 扩展参数造成的拒绝服务 (CVE-2026-2229)

    * undici：Undici：因重复的 Content-Length 标头造成 HTTP 请求走私和拒绝服务 (CVE-2026-1525)

    * undici：undici：通过精心构造的、长度较大的 WebSocket 帧发起拒绝服务攻击 (CVE-2026-1528)

    * nghttp2：nghttp2：会话终止后通过畸形 HTTP/2 帧进行的拒绝服务 (CVE-2026-27135)

    * Node.js：Node.js：通过畸形的国际化域名处理导致拒绝服务 (CVE-2026-21712)

    * Node.js：Node.js：由于构建的 HTTP __proto__ 标头导致拒绝服务（CVE-2026-21710）

    * Node.js：Node.js：由于 fs.realpathSync.native() 绕过文件系统读取限制，导致信息泄露 (CVE-2026-21715)

    * nodejs：Node.js：权限绕过：由于安全修复不完整，攻击者可未授权修改文件权限和所有者。(CVE-2026-21716)

    * Node.js：Node.js：因缺少 Unix 域套接字权限检查而导致的未经授权的进程间通信 (CVE-2026-21711)

    * Node.js：Node.js：通过 HMAC 验证中的时序 oracle 造成信息泄露 (CVE-2026-21713)

    * Node.js：Node.js：通过构造的 HTTP/2 WINDOW_UPDATE 帧导致内存泄漏并引发拒绝服务 (CVE-2026-21714)

    * nodejs：v8：Node.js：通过 V8 字符串哈希机制中的可预测哈希碰撞导致拒绝服务 (CVE-2026-21717)

    有关上述安全问题的更多详细信息，包括其影响、CVSS 得分、致谢，以及其他相关信息，请参阅列于“参考”部分的 CVE 页面。

Tenable 已直接从 Red Hat Enterprise Linux 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 AlmaLinux 10 主机上安装的程序包受到 ALSA-2026:7675 公告中提及的多个漏洞影响。

    * nodejs：Nodejs 拒绝服务 (CVE-2026-21637)
      * brace-expansion: brace-expansion：通过不受限制的大括号扩展导致的拒绝服务 (CVE-2026-25547)
      * minimatch：minimatch：通过特别构建的 glob 模式导致的拒绝服务 (CVE-2026-26996)
      * undici：Undici：由于资源消耗不受控制导致拒绝服务 (CVE-2026-2581)
      * undici：Undici：HTTP 标头注入和请求走私漏洞 (CVE-2026-1527)
      * undici：undici：在 WebSocket permessage-deflate 解压缩期间，因内存消耗不受限制导致拒绝服务 (CVE-2026-1526)
      * undici：Undici：通过无效 WebSocket permessage-deflate 扩展参数造成的拒绝服务 (CVE-2026-2229)
      * undici：Undici：因重复的 Content-Length 标头造成 HTTP 请求走私和拒绝服务 (CVE-2026-1525)
      * undici：undici：通过精心构造的、长度较大的 WebSocket 帧发起拒绝服务攻击 (CVE-2026-1528)
      * nghttp2：nghttp2：会话终止后通过畸形 HTTP/2 帧进行的拒绝服务 (CVE-2026-27135)
      * Node.js：Node.js：通过畸形的国际化域名处理导致拒绝服务 (CVE-2026-21712)
      * Node.js：Node.js：由于构建的 HTTP __proto__ 标头导致拒绝服务（CVE-2026-21710）
      * Node.js：Node.js：由于 fs.realpathSync.native() 绕过文件系统读取限制，导致信息泄露 (CVE-2026-21715)
      * nodejs：Node.js：权限绕过：由于安全修复不完整，攻击者可未授权修改文件权限和所有者。(CVE-2026-21716)
      * Node.js：Node.js：因缺少 Unix 域套接字权限检查而导致的未经授权的进程间通信 (CVE-2026-21711)
      * Node.js：Node.js：通过 HMAC 验证中的时序 oracle 造成信息泄露 (CVE-2026-21713)
      * Node.js：Node.js：通过构造的 HTTP/2 WINDOW_UPDATE 帧导致内存泄漏并引发拒绝服务 (CVE-2026-21714)
      * nodejs：v8：Node.js：通过 V8 字符串哈希机制中的可预测哈希碰撞导致拒绝服务 (CVE-2026-21717)

Tenable 已直接从 AlmaLinux 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

因此，该软件受到 ALAS2023-2026-1402 公告中提及的多个漏洞影响。

    使用构建的符号链接绕过文件系统权限CVE-2025-55130

    Node.js 缓冲区分配逻辑中的缺陷在使用具有超时选项的 vm 模块时分配中断时可能暴露未初始化的内存。在特定时序条件下，通过 Buffer.alloc 和其他 TypedArray 实例（如 Uint8Array）分配的缓冲区可能包含之前操作残留的数据，此漏洞可导致进程内机密信息（如令牌或密码）泄露或数据损坏。

    尽管漏洞利用通常需要精确定时或需要进程内代码执行，但当不受信任的输入影响工作负载和超时时，该漏洞也可能被远程利用，从而导致潜在的机密性和完整性影响。 (CVE-2025-55131)

    fs.futimes() 绕过只读权限模型 (CVE-2025-55132)

    Node.js HTTP/2 服务器在接收畸形 HEADERS 帧时因未处理的错误而崩溃 (CVE-2025-59465)

    Node.js 上通过 async_hooks 发生的超出 Uncatchable maximum call stack size 的错误导致绕过错误处理程序的进程崩溃 (CVE-2025-59466)

    TLS PSK/ALPN 回调异常绕过错误处理程序造成 DoS 和 FD 泄漏

    注意：https://nodejs.org/en/blog/vulnerability/december-2025-security-releases#tls-pskalpn-callback-exceptions-bypass-error-handlers-causing-dos-and-fd-leak-cve-2026-21637---medium (CVE-2026-21637)

Tenable 已直接从测试产品的安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Oracle Linux 8 主机上安装的程序包受到 ELSA-2026-2422 公告中提及的多个漏洞影响。

    nodejs [1:20.20.0-1]
    - 更新到版本 20.20.0 解决了 RHEL-130972

    nodejs-nodemon [3.0.1-1]
    - 衍合至 3.0.1
    - 已解决：CVE-2022-25883

Tenable 已直接从 Oracle Linux 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Oracle Linux 10 主机上安装的多个程序包受到 ELSA-2026-1843 公告中提及的多个漏洞影响。

    [1:22.22.0-3]
    - 升级版本以获取正确的 RHEL 版本

    [1:22.22.0-2]
    - 门控计划中的 nodejs22.fmf 过滤器

    [1:22.22.0-1]
    - 更新到 22.22.0

    [1:22.19.0-3]
    - 单元测试调整 - 禁用 internet/test-dgram-membership

Tenable 已直接从 Oracle Linux 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 RockyLinux 9 主机上存在安装的程序包该程序包受到公告 RLSA-2026:2782 中提及的多个漏洞的影响。

    * nodejsNodejs 文件系统权限绕过 (CVE-2025-55132)

    * nodejsNodejs 拒绝服务 (CVE-2026-21637)

    * nodejsNodejs 拒绝服务 (CVE-2025-59466)

    * nodejsNodejs 拒绝服务 (CVE-2025-59465)

    * nodejsNodejs 未初始化内存泄露 (CVE-2025-55131)

    * nodejsNodejs 文件权限绕过 (CVE-2025-55130)

Tenable 已直接从 RockyLinux 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 RockyLinux 8 主机上安装的多个程序包受到 RLSA-2026:7670 公告中提及的多个漏洞影响。

    * nodejs：Nodejs 拒绝服务 (CVE-2026-21637)

    * minimatch：minimatch：通过特别构建的 glob 模式导致的拒绝服务 (CVE-2026-26996)

    * undici：Undici：由于资源消耗不受控制导致拒绝服务 (CVE-2026-2581)

    * undici：Undici：HTTP 标头注入和请求走私漏洞 (CVE-2026-1527)

    * undici：undici：在 WebSocket permessage-deflate 解压缩期间，因内存消耗不受限制导致拒绝服务 (CVE-2026-1526)

    * undici：Undici：通过无效 WebSocket permessage-deflate 扩展参数造成的拒绝服务 (CVE-2026-2229)

    * undici：Undici：因重复的 Content-Length 标头造成 HTTP 请求走私和拒绝服务 (CVE-2026-1525)

    * undici：undici：通过精心构造的、长度较大的 WebSocket 帧发起拒绝服务攻击 (CVE-2026-1528)

    * nghttp2：nghttp2：会话终止后通过畸形 HTTP/2 帧进行的拒绝服务 (CVE-2026-27135)

    * Node.js：Node.js：通过畸形的国际化域名处理导致拒绝服务 (CVE-2026-21712)

    * Node.js：Node.js：由于构建的 HTTP __proto__ 标头导致拒绝服务（CVE-2026-21710）

    * Node.js：Node.js：由于 fs.realpathSync.native() 绕过文件系统读取限制，导致信息泄露 (CVE-2026-21715)

    * nodejs：Node.js：权限绕过：由于安全修复不完整，攻击者可未授权修改文件权限和所有者。(CVE-2026-21716)

    * Node.js：Node.js：因缺少 Unix 域套接字权限检查而导致的未经授权的进程间通信 (CVE-2026-21711)

    * Node.js：Node.js：通过 HMAC 验证中的时序 oracle 造成信息泄露 (CVE-2026-21713)

    * Node.js：Node.js：通过构造的 HTTP/2 WINDOW_UPDATE 帧导致内存泄漏并引发拒绝服务 (CVE-2026-21714)

    * nodejs：v8：Node.js：通过 V8 字符串哈希机制中的可预测哈希碰撞导致拒绝服务 (CVE-2026-21717)

Tenable 已直接从 RockyLinux 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 RockyLinux 10 主机上安装的多个程序包受到 RLSA-2026:7675 公告中提及的多个漏洞影响。

    * nodejs：Nodejs 拒绝服务 (CVE-2026-21637)

    * brace-expansion: brace-expansion：通过不受限制的大括号扩展导致的拒绝服务 (CVE-2026-25547)

    * minimatch：minimatch：通过特别构建的 glob 模式导致的拒绝服务 (CVE-2026-26996)

    * undici：Undici：由于资源消耗不受控制导致拒绝服务 (CVE-2026-2581)

    * undici：Undici：HTTP 标头注入和请求走私漏洞 (CVE-2026-1527)

    * undici：undici：在 WebSocket permessage-deflate 解压缩期间，因内存消耗不受限制导致拒绝服务 (CVE-2026-1526)

    * undici：Undici：通过无效 WebSocket permessage-deflate 扩展参数造成的拒绝服务 (CVE-2026-2229)

    * undici：Undici：因重复的 Content-Length 标头造成 HTTP 请求走私和拒绝服务 (CVE-2026-1525)

    * undici：undici：通过精心构造的、长度较大的 WebSocket 帧发起拒绝服务攻击 (CVE-2026-1528)

    * nghttp2：nghttp2：会话终止后通过畸形 HTTP/2 帧进行的拒绝服务 (CVE-2026-27135)

    * Node.js：Node.js：通过畸形的国际化域名处理导致拒绝服务 (CVE-2026-21712)

    * Node.js：Node.js：由于构建的 HTTP __proto__ 标头导致拒绝服务（CVE-2026-21710）

    * Node.js：Node.js：由于 fs.realpathSync.native() 绕过文件系统读取限制，导致信息泄露 (CVE-2026-21715)

    * nodejs：Node.js：权限绕过：由于安全修复不完整，攻击者可未授权修改文件权限和所有者。(CVE-2026-21716)

    * Node.js：Node.js：因缺少 Unix 域套接字权限检查而导致的未经授权的进程间通信 (CVE-2026-21711)

    * Node.js：Node.js：通过 HMAC 验证中的时序 oracle 造成信息泄露 (CVE-2026-21713)

    * Node.js：Node.js：通过构造的 HTTP/2 WINDOW_UPDATE 帧导致内存泄漏并引发拒绝服务 (CVE-2026-21714)

    * nodejs：v8：Node.js：通过 V8 字符串哈希机制中的可预测哈希碰撞导致拒绝服务 (CVE-2026-21717)

Tenable 已直接从 RockyLinux 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 MiracleLinux 9 主机上安装的程序包受到 AXSA:2026-449:01 公告中提及的多个漏洞影响。 

    * nodejs：Nodejs 拒绝服务 (CVE-2026-21637)
      * brace-expansion: brace-expansion：通过不受限制的大括号扩展导致的拒绝服务 (CVE-2026-25547)
      * minimatch：minimatch：通过特别构建的 glob 模式导致的拒绝服务 (CVE-2026-26996)
      * undici：Undici：由于资源消耗不受控制导致拒绝服务 (CVE-2026-2581)
      * undici：Undici：HTTP 标头注入和请求走私漏洞 (CVE-2026-1527)
      * undici：undici：在 WebSocket permessage-deflate 解压缩期间，因内存消耗不受限制导致拒绝服务 (CVE-2026-1526)
      * undici：Undici：通过无效 WebSocket permessage-deflate 扩展参数造成的拒绝服务 (CVE-2026-2229)
      * undici：Undici：因重复的 Content-Length 标头造成 HTTP 请求走私和拒绝服务 (CVE-2026-1525)
      * undici：undici：通过精心构造的、长度较大的 WebSocket 帧发起拒绝服务攻击 (CVE-2026-1528)
      * nghttp2：nghttp2：会话终止后通过畸形 HTTP/2 帧进行的拒绝服务 (CVE-2026-27135)
      * Node.js：Node.js：通过畸形的国际化域名处理导致拒绝服务 (CVE-2026-21712)
      * Node.js：Node.js：由于构建的 HTTP __proto__ 标头导致拒绝服务（CVE-2026-21710）
      * Node.js：Node.js：由于 fs.realpathSync.native() 绕过文件系统读取限制，导致信息泄露 (CVE-2026-21715)
      * nodejs：Node.js：权限绕过：由于安全修复不完整，攻击者可未授权修改文件权限和所有者。(CVE-2026-21716)
      * Node.js：Node.js：因缺少 Unix 域套接字权限检查而导致的未经授权的进程间通信 (CVE-2026-21711)
      * Node.js：Node.js：通过 HMAC 验证中的时序 oracle 造成信息泄露 (CVE-2026-21713)
      * Node.js：Node.js：通过构造的 HTTP/2 WINDOW_UPDATE 帧导致内存泄漏并引发拒绝服务 (CVE-2026-21714)
      * nodejs：v8：Node.js：通过 V8 字符串哈希机制中的可预测哈希碰撞导致拒绝服务 (CVE-2026-21717)

Tenable 已直接从 MiracleLinux 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
299682	MagicLinux 9nodejs:24 (AXSA:2026-209:01)	Nessus	Miracle Linux Local Security Checks	2026/2/20	2026/4/3	medium
299684	MagicLinux 9nodejs:22 (AXSA:2026-212:01)	Nessus	Miracle Linux Local Security Checks	2026/2/20	2026/4/3	medium
307436	Tenable Identity Exposure < 3.77.17 多个漏洞 (TNS-2026-11)	Nessus	Misc.	2026/4/18	2026/4/20	high
310403	Tenable Identity Exposure < 3.77.17 多个漏洞 (TNS-2026-11)	Nessus	Misc.	2026/4/27	2026/4/28	high
306067	RHEL 10：nodejs24 (RHSA-2026:7675)	Nessus	Red Hat Local Security Checks	2026/4/13	2026/4/13	critical
306516	AlmaLinux 10：nodejs24 (ALSA-2026:7675)	Nessus	Alma Linux Local Security Checks	2026/4/15	2026/4/21	critical
298073	Amazon Linux 2023：nodejs20、nodejs20-devel、nodejs20-full-i18n (ALAS2023-2026-1402)	Nessus	Amazon Linux Local Security Checks	2026/2/5	2026/4/3	medium
298811	Oracle Linux 8：nodejs:20 (ELSA-2026-2422)	Nessus	Oracle Linux Local Security Checks	2026/2/12	2026/4/3	medium
297989	Oracle Linux 10nodejs22 (ELSA-2026-1843)	Nessus	Oracle Linux Local Security Checks	2026/2/5	2026/4/3	medium
299387	RockyLinux 9nodejs:22 (RLSA-2026:2782)	Nessus	Rocky Linux Local Security Checks	2026/2/18	2026/4/3	medium
306061	RockyLinux 8：nodejs:24 (RLSA-2026:7670)	Nessus	Rocky Linux Local Security Checks	2026/4/13	2026/4/14	high
306530	RockyLinux 10：nodejs24 (RLSA-2026:7675)	Nessus	Rocky Linux Local Security Checks	2026/4/15	2026/4/15	critical
307262	MiracleLinux 9：nodejs:24 (AXSA:2026-449:01)	Nessus	Miracle Linux Local Security Checks	2026/4/17	2026/4/22	critical

检测

插件搜索

medium

medium

high

high

critical

critical

medium

medium

medium

medium

high

critical

critical