远程 Oracle Linux 9 主机上安装的程序包受到 ELSA-2026-7302 公告中提及的多个漏洞影响。

    - 引入了修补程序，将 deps/nghttp2 更新到 v 1.68.1 for CVE-2026-27135
    - 针对 npm/braces 的补丁 CVE-2026-25547 可解决：RHEL-163369 可修复：CVE-2026-1528 CVE-2026-2229 CVE-2026-1526 CVE-2026-1525 CVE-2026-27135 CVE-2026-27904 CVE-2026-26996 CVE-2026-25547

    nodejs-nodemon
    - 已解决：CVE-2022-25883
    - 已解决：CVE-2021-35065
    - 衍合到 2.0.20 已解决：CVE-2022-3517
    - 已解决 CVE-2020-28469

Tenable 已直接从 Oracle Linux 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

Rocky Linux 8 主机上存在安装的程序包，该程序包受到 CIQ crlsa-2026_7670 公告中提及的多个漏洞的影响。

    * nodejs：Nodejs 拒绝服务 (CVE-2026-21637)

    * minimatch：minimatch：通过特别构建的 glob 模式导致的拒绝服务 (CVE-2026-26996)

    * undici：Undici：由于资源消耗不受控制导致拒绝服务 (CVE-2026-2581)

    * undici：Undici：HTTP 标头注入和请求走私漏洞 (CVE-2026-1527)

    * undici：undici：在 WebSocket permessage-deflate 解压缩期间，因内存消耗不受限制导致拒绝服务 (CVE-2026-1526)

    * undici：Undici：通过无效 WebSocket permessage-deflate 扩展参数造成的拒绝服务 (CVE-2026-2229)

    * undici：Undici：因重复的 Content-Length 标头造成 HTTP 请求走私和拒绝服务 (CVE-2026-1525)

    * undici：undici：通过精心构造的、长度较大的 WebSocket 帧发起拒绝服务攻击 (CVE-2026-1528)

    * nghttp2：nghttp2：会话终止后通过畸形 HTTP/2 帧进行的拒绝服务 (CVE-2026-27135)

    * Node.js：Node.js：通过畸形的国际化域名处理导致拒绝服务 (CVE-2026-21712)

    * Node.js：Node.js：由于构建的 HTTP __proto__ 标头导致拒绝服务（CVE-2026-21710）

    * Node.js：Node.js：由于 fs.realpathSync.native() 绕过文件系统读取限制，导致信息泄露 (CVE-2026-21715)

    * nodejs：Node.js：权限绕过：由于安全修复不完整，攻击者可未授权修改文件权限和所有者。(CVE-2026-21716)

    * Node.js：Node.js：因缺少 Unix 域套接字权限检查而导致的未经授权的进程间通信 (CVE-2026-21711)

    * Node.js：Node.js：通过 HMAC 验证中的时序 oracle 造成信息泄露 (CVE-2026-21713)

    * Node.js：Node.js：通过构造的 HTTP/2 WINDOW_UPDATE 帧导致内存泄漏并引发拒绝服务 (CVE-2026-21714)

    * nodejs：v8：Node.js：通过 V8 字符串哈希机制中的可预测哈希碰撞导致拒绝服务 (CVE-2026-21717)

Tenable 已直接从 CIQ 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

AlmaLinux 9.6 主机上存在安装的程序包，该程序包受到 TuxCare ALMALINUX9.6：CLSA-2026：1777395480公告中提及的多个漏洞的影响。

  - 提供不受信任的用户数据作为范围时，7.5.2 之前的 semver 程序包容易遭受通过函数新范围执行的正则表达式拒绝服务 (ReDoS) 攻击。(CVE-2022-25883)

  - 如果收到的请求包含名为“__proto__”的标头，且应用程序可以访问“req.headersDistinct”，则 Node.js HTTP 请求处理中的缺陷会导致未捕获的“TypeError”。发生这种情况时，“dest[__proto__]”会解析为“Object.prototype”，而非“undefined”，从而导致在非数组中调用“.push()”。此异常会在属性 getter 内同步抛出，并且无法被“error”事件监听程序拦截，即若未将每个“req.headersDistinct”访问封装在“try/catch”中，便无法处理此异常。* 此漏洞会影响 **20.x、22.x、24.x 和 v25.x** 上的所有 Node.js HTTP 服务器。(CVE-2026-21710)

  - nghttp2 是用 C 语言实现的超文本传输协议版本 2。在 1.68.1 版本之前，当应用程序调用面向用户的公共 API“nghttp2_session_terminate_session”或“nghttp2_session_terminate_session2”时，nghttp2 库会停止读取传入的数据。
    当库检测到连接错误时，可能会在内部调用这些 API。由于缺少内部状态验证，在调用其中一个 API 之后，库会继续读取其余数据。然后，接收到的格式错误的帧会导致 FRAME_SIZE_ERROR 错误，进而引发断言失败。nghttp2 v1.68.1 添加了缺失的状态验证，以避免断言失败。没有已知的变通方案可用。(CVE-2026-27135)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程主机上安装的 Node.js 版本低于 20.20.2、22.22.2、24.14.1、25.8.2。因此，它受到 2026 年 3 月 24 日星期二安全版本公告中提及的多个漏洞影响。

  - Node.js TLS 错误处理中存在一个缺陷，远程攻击者可利用此缺陷，在使用 `pskCallback` 或 `ALPNCallback` 期间造成 TLS 服务器崩溃或耗尽其资源。在执行这类回调期间抛出的同步异常可绕过标准 TLS 错误处理路径（tlsClientError 和 error），导致进程立即终止或静默文件描述符泄漏，最终造成拒绝服务。这类回调会在 TLS 握手期间处理攻击者控制的输入，因此远程客户端可重复触发此问题。此漏洞会影响多个 Node.js 版本中使用 PSK 或 ALPN 回调的 TLS 服务器，而这些回调会在未被安全封装的情况下在该等服务器中抛出。(CVE-2026-21637)

  - 如果收到的请求包含名为“__proto__”的标头，且应用程序可以访问“req.headersDistinct”，则 Node.js HTTP 请求处理中的缺陷会导致未捕获的“TypeError”。发生这种情况时，“dest[__proto__]”会解析为“Object.prototype”，而非“undefined”，从而导致在非数组中调用“.push()”。此异常会在属性 getter 内同步抛出，并且无法被“error”事件监听程序拦截，即若未将每个“req.headersDistinct”访问封装在“try/catch”中，便无法处理此异常。* 此漏洞会影响 **20.x、22.x、24.x 和 v25.x** 上的所有 Node.js HTTP 服务器。(CVE-2026-21710)

  - Node.js 权限模型网络强制执行中存在一个缺陷，可导致 Unix 域套接字 (UDS) 服务器操作无法执行所需的权限检查，而所有类似的网络路径都能正确执行这些检查。因此，在未启用“--allow-net”时以“--permission”权限运行的代码可创建并暴露本地 IPC 端点，从而允许在预期网络限制边界之外与同一主机上的其他进程进行通信。此漏洞影响使用权限模型的 Node.js **25.x** 进程，其中有意省略“--allow-net”以限制网络访问。请注意，“--allow-net”当前是实验性功能。(CVE-2026-21711)

  - Node.js URL 处理中存在一个缺陷，可在使用包含无效字符的畸形国际化域名 (IDN) 调用“url.format()”时造成本机代码发生断言失败，进而造成 Node.js 进程崩溃。(CVE-2026-21712)

  - Node.js HMAC 验证中的缺陷在验证用户提供的签名时使用非常数时间比较，从而可能泄漏与匹配字节数成正比的定时信息。在某些可以进行高分辨率时序测量的威胁模式下，可利用此行为作为时序预言机来推断 HMAC 值。Node.js 已经提供了代码库中其他地方使用的时序安全的比较原语，表明这是一种疏忽，而不是有意的设计决策。此漏洞会影响 **20.x、22.x、24.x 和 25.x**。(CVE-2026-21713)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

Rocky Linux 9 主机上存在安装的程序包，该程序包受到 CIQ crlsa-2026_7350 公告中提及的多个漏洞的影响。

    * nodejs：Nodejs 拒绝服务 (CVE-2026-21637)

    * brace-expansion: brace-expansion：通过不受限制的大括号扩展导致的拒绝服务 (CVE-2026-25547)

    * minimatch：minimatch：通过特别构建的 glob 模式导致的拒绝服务 (CVE-2026-26996)

    * undici：Undici：由于资源消耗不受控制导致拒绝服务 (CVE-2026-2581)

    * undici：Undici：HTTP 标头注入和请求走私漏洞 (CVE-2026-1527)

    * undici：undici：在 WebSocket permessage-deflate 解压缩期间，因内存消耗不受限制导致拒绝服务 (CVE-2026-1526)

    * undici：Undici：通过无效 WebSocket permessage-deflate 扩展参数造成的拒绝服务 (CVE-2026-2229)

    * undici：Undici：因重复的 Content-Length 标头造成 HTTP 请求走私和拒绝服务 (CVE-2026-1525)

    * undici：undici：通过精心构造的、长度较大的 WebSocket 帧发起拒绝服务攻击 (CVE-2026-1528)

    * nghttp2：nghttp2：会话终止后通过畸形 HTTP/2 帧进行的拒绝服务 (CVE-2026-27135)

    * Node.js：Node.js：通过畸形的国际化域名处理导致拒绝服务 (CVE-2026-21712)

    * Node.js：Node.js：由于构建的 HTTP __proto__ 标头导致拒绝服务（CVE-2026-21710）

    * Node.js：Node.js：由于 fs.realpathSync.native() 绕过文件系统读取限制，导致信息泄露 (CVE-2026-21715)

    * nodejs：Node.js：权限绕过：由于安全修复不完整，攻击者可未授权修改文件权限和所有者。(CVE-2026-21716)

    * Node.js：Node.js：因缺少 Unix 域套接字权限检查而导致的未经授权的进程间通信 (CVE-2026-21711)

    * Node.js：Node.js：通过 HMAC 验证中的时序 oracle 造成信息泄露 (CVE-2026-21713)

    * Node.js：Node.js：通过构造的 HTTP/2 WINDOW_UPDATE 帧导致内存泄漏并引发拒绝服务 (CVE-2026-21714)

    * nodejs：v8：Node.js：通过 V8 字符串哈希机制中的可预测哈希碰撞导致拒绝服务 (CVE-2026-21717)

Tenable 已直接从 CIQ 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

Rocky Linux 8 主机上存在安装的程序包，该程序包受到 CIQ crlsa-2026_8339 公告中提及的多个漏洞的影响。

    * minimatch：minimatch：通过特别构建的 glob 模式导致的拒绝服务 (CVE-2026-26996)

    * minimatch：Minimatch：通过 glob 表达式中的灾难性回溯造成拒绝服务 (CVE-2026-27904)

    * nghttp2：nghttp2：会话终止后通过畸形 HTTP/2 帧进行的拒绝服务 (CVE-2026-27135)

    * Node.js：Node.js：由于构建的 HTTP __proto__ 标头导致拒绝服务（CVE-2026-21710）

Tenable 已直接从 CIQ 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Redhat Enterprise Linux 9 主机上安装的程序包受到 RHSA-2026:7302 公告中提及的多个漏洞影响。

    Node.js 是个软件开发平台，可使用 JavaScript 编程语言构建快速且可扩展的网络应用程序。

    安全修复：

    * brace-expansion: brace-expansion：通过不受限制的括号范围扩展导致的拒绝服务 (CVE-2026-25547)

    * minimatch：minimatch：通过特别构建的 glob 模式导致的拒绝服务 (CVE-2026-26996)

    * minimatch：Minimatch：通过 glob 表达式中的灾难性回溯造成拒绝服务 (CVE-2026-27904)

    * undici：undici：在 WebSocket permessage-deflate 解压缩期间，因内存消耗不受限制导致拒绝服务 (CVE-2026-1526)

    * undici：Undici：通过无效 WebSocket permessage-deflate 扩展参数造成的拒绝服务 (CVE-2026-2229)

    * undici：Undici：因重复的 Content-Length 标头造成 HTTP 请求走私和拒绝服务 (CVE-2026-1525)

    * undici：undici：通过精心构造的、长度较大的 WebSocket 帧发起拒绝服务攻击 (CVE-2026-1528)

    * nghttp2：nghttp2：会话终止后通过畸形 HTTP/2 帧进行的拒绝服务 (CVE-2026-27135)

    * Node.js：Node.js：由于构建的 HTTP __proto__ 标头导致拒绝服务（CVE-2026-21710）

    有关上述安全问题的更多详细信息，包括其影响、CVSS 得分、致谢，以及其他相关信息，请参阅列于“参考”部分的 CVE 页面。

Tenable 已直接从 Red Hat Enterprise Linux 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Oracle Linux 8 主机上安装的程序包受到 ELSA-2026-7670 公告中提及的多个漏洞影响。

    nodejs [1:24.14.1-2]
    - 将已打包的 nghttp2 更新到 1.68.1相关：RHEL-151374

    [1:24.14.1-1]
    - 更新至 24.14.0 解决：RHEL-151374

    nodejs-nodemon [3.0.3-1]
    - 首次导入到 nodejs:24 模块

    nodejs-packaging [2021.06-6]
    - 在 nodejs-symlink-deps 中正确处理 @group/package 依赖 解决：RHEL-121576

    [2021.06-5]
    - nodejs.req 用于正确检测捆绑依赖项

    [2021.06-4]
    - NPM Bundler：同时查找带命名空间的捆绑依赖项

    [2021.06-3]
    - 已针对 https://fedoraproject.org/wiki/Fedora_35_Mass_Rebuild 重建

    [2021.06-2]
    - 修复 bundler 中的硬编码输出目录

    [2021.06-1]
    - 更新到 2021.06-1
    - bundler：处理过时的许可证元数据
    - bundler：当捆绑依赖项没有许可证元数据时给出警告

    [2021.01-3]
    - 已针对 https://fedoraproject.org/wiki/Fedora_34_Mass_Rebuild 重建

    [2021.01-2]
    - nodejs-packaging-bundler 改进：用于处理不常见的字符

    [2021.01]
    - 添加 nodejs-packaging-bundler 并更新 README.md

    [2020.09-1]
    - 移动到 dist-git 作为上游

Tenable 已直接从 Oracle Linux 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Oracle Linux 9 主机上安装的程序包受到 ELSA-2026-7896 公告中提及的多个漏洞影响。

    - 更新到 20.20.2 版将修补程序 nghttp2 更新至 1.68.1 版并禁用可能因此变更而失败的测试。
      解决了 RHEL-164336 修复了 CVE-2026-27135 CVE-2026-27904 CVE-2026-26996 CVE-2026-25547 CVE-2026-21710

    nodejs-nodemon
    - 已解决：CVE-2022-25883
    - 已解决：CVE-2021-35065
    - 衍合到 2.0.20 已解决：CVE-2022-3517
    - 已解决 CVE-2020-28469

Tenable 已直接从 Oracle Linux 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 AlmaLinux 8 主机上安装的程序包受到 ALSA-2026:7123 公告中提及的多个漏洞的影响。

    * brace-expansion: brace-expansion：通过不受限制的大括号扩展导致的拒绝服务 (CVE-2026-25547)
      * minimatch：minimatch：通过特别构建的 glob 模式导致的拒绝服务 (CVE-2026-26996)
      * minimatch：Minimatch：通过 glob 表达式中的灾难性回溯造成拒绝服务 (CVE-2026-27904)
      * undici：undici：在 WebSocket permessage-deflate 解压缩期间，因内存消耗不受限制导致拒绝服务 (CVE-2026-1526)
      * undici：Undici：通过无效 WebSocket permessage-deflate 扩展参数造成的拒绝服务 (CVE-2026-2229)
      * undici：Undici：因重复的 Content-Length 标头造成 HTTP 请求走私和拒绝服务 (CVE-2026-1525)
      * undici：undici：通过精心构造的、长度较大的 WebSocket 帧发起拒绝服务攻击 (CVE-2026-1528)
      * nghttp2：nghttp2：会话终止后通过畸形 HTTP/2 帧进行的拒绝服务 (CVE-2026-27135)
      * Node.js：Node.js：由于构建的 HTTP __proto__ 标头导致拒绝服务（CVE-2026-21710）

Tenable 已直接从 AlmaLinux 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 AlmaLinux 9 主机上安装的程序包受到 ALSA-2026:7350 公告中提及的多个漏洞的影响。

    * nodejs：Nodejs 拒绝服务 (CVE-2026-21637)
      * brace-expansion: brace-expansion：通过不受限制的大括号扩展导致的拒绝服务 (CVE-2026-25547)
      * minimatch：minimatch：通过特别构建的 glob 模式导致的拒绝服务 (CVE-2026-26996)
      * undici：Undici：由于资源消耗不受控制导致拒绝服务 (CVE-2026-2581)
      * undici：Undici：HTTP 标头注入和请求走私漏洞 (CVE-2026-1527)
      * undici：undici：在 WebSocket permessage-deflate 解压缩期间，因内存消耗不受限制导致拒绝服务 (CVE-2026-1526)
      * undici：Undici：通过无效 WebSocket permessage-deflate 扩展参数造成的拒绝服务 (CVE-2026-2229)
      * undici：Undici：因重复的 Content-Length 标头造成 HTTP 请求走私和拒绝服务 (CVE-2026-1525)
      * undici：undici：通过精心构造的、长度较大的 WebSocket 帧发起拒绝服务攻击 (CVE-2026-1528)
      * nghttp2：nghttp2：会话终止后通过畸形 HTTP/2 帧进行的拒绝服务 (CVE-2026-27135)
      * Node.js：Node.js：通过畸形的国际化域名处理导致拒绝服务 (CVE-2026-21712)
      * Node.js：Node.js：由于构建的 HTTP __proto__ 标头导致拒绝服务（CVE-2026-21710）
      * Node.js：Node.js：由于 fs.realpathSync.native() 绕过文件系统读取限制，导致信息泄露 (CVE-2026-21715)
      * nodejs：Node.js：权限绕过：由于安全修复不完整，攻击者可未授权修改文件权限和所有者。(CVE-2026-21716)
      * Node.js：Node.js：因缺少 Unix 域套接字权限检查而导致的未经授权的进程间通信 (CVE-2026-21711)
      * Node.js：Node.js：通过 HMAC 验证中的时序 oracle 造成信息泄露 (CVE-2026-21713)
      * Node.js：Node.js：通过构造的 HTTP/2 WINDOW_UPDATE 帧导致内存泄漏并引发拒绝服务 (CVE-2026-21714)
      * nodejs：v8：Node.js：通过 V8 字符串哈希机制中的可预测哈希碰撞导致拒绝服务 (CVE-2026-21717)

Tenable 已直接从 AlmaLinux 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Oracle Linux 8 主机上安装的程序包受到 ELSA-2026-8339 公告中提及的多个漏洞影响。

    - 将 nghttp2 修补到 1.68.1 版本并禁用因此项变更可能失败的测试。
      解决了 RHEL-154018 修复了 CVE-2026-27135 CVE-2026-27904 CVE-2026-26996 CVE-2026-25547 CVE-2026-21710

    nodejs-nodemon
    - 已解决：CVE-2022-25883
    - 已解决：CVE-2021-35065
    - 衍合到 2.0.20 已解决：CVE-2022-3517
    - 衍合到 2.0.19 已解决：CVE-2022-33987
    - 已解决 CVE-2020-28469
    - 更新至 2.0.7 解决 CVE-2020-28469

Tenable 已直接从 Oracle Linux 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
307040	Oracle Linux 9：nodejs:22 (ELSA-2026-7302)	Nessus	Oracle Linux Local Security Checks	2026/4/17	2026/4/17	critical
356676	Rocky Linux 8 [CIQ] 安全更新：nodejs / nodejs-debuginfo / nodejs-debugsource / nodejs-devel / etc 多种漏洞（crlsa-2026_7670）	Nessus	Rocky Linux Local Security Checks	2026/10/1	2026/10/1	high
360749	AlmaLinux 9.6 [TuxCare] 安全更新：nodejs / nodejs-devel / nodejs-docs / nodejs-full-i18n / 等多个漏洞（ALMALINUX9.6：CLSA-2026：1777395480）	Nessus	Alma Linux Local Security Checks	2026/10/1	2026/10/1	high
303494	Node.js 20.x < 20.20.2 / 22.x < 22.22.2 / 24.x < 24.14.1 / 25.x < 25.8.2 多个漏洞（2026 年 3 月 24 日星期二安全版本）。	Nessus	Misc.	2026/3/24	2026/10/9	high
354171	Rocky Linux 9 [CIQ] 安全更新：nodejs / nodejs-debuginfo / nodejs-debugsource / nodejs-devel / etc 多种漏洞（crlsa-2026_7350）	Nessus	Rocky Linux Local Security Checks	2026/10/1	2026/10/1	critical
355138	Rocky Linux 8 [CIQ] 安全更新：nodejs / nodejs-debuginfo / nodejs-debugsource / nodejs-devel / etc 多种漏洞（crlsa-2026_8339）	Nessus	Rocky Linux Local Security Checks	2026/10/1	2026/10/1	high
305780	RHEL 9：nodejs:22 (RHSA-2026:7302)	Nessus	Red Hat Local Security Checks	2026/4/9	2026/4/9	critical
306250	Oracle Linux 8：nodejs:24 (ELSA-2026-7670)	Nessus	Oracle Linux Local Security Checks	2026/4/13	2026/4/13	high
306467	Oracle Linux 9：nodejs:20 (ELSA-2026-7896)	Nessus	Oracle Linux Local Security Checks	2026/4/14	2026/4/14	high
306655	AlmaLinux 8：nodejs:22 (ALSA-2026:7123)	Nessus	Alma Linux Local Security Checks	2026/4/16	2026/4/16	critical
306669	AlmaLinux 9：nodejs:24 (ALSA-2026:7350)	Nessus	Alma Linux Local Security Checks	2026/4/16	2026/4/16	critical
307484	Oracle Linux 8：nodejs:20 (ELSA-2026-8339)	Nessus	Oracle Linux Local Security Checks	2026/4/19	2026/4/19	high

检测

插件搜索

critical

high

high

high

critical

high

critical

high

high

critical

critical

high