远程 Oracle Linux 8 主机上安装的程序包受到 ELSA-2026-7670 公告中提及的多个漏洞影响。

    nodejs [1:24.14.1-2]
    - 将已打包的 nghttp2 更新到 1.68.1相关：RHEL-151374

    [1:24.14.1-1]
    - 更新至 24.14.0 解决：RHEL-151374

    nodejs-nodemon [3.0.3-1]
    - 首次导入到 nodejs:24 模块

    nodejs-packaging [2021.06-6]
    - 在 nodejs-symlink-deps 中正确处理 @group/package 依赖 解决：RHEL-121576

    [2021.06-5]
    - nodejs.req 用于正确检测捆绑依赖项

    [2021.06-4]
    - NPM Bundler：同时查找带命名空间的捆绑依赖项

    [2021.06-3]
    - 已针对 https://fedoraproject.org/wiki/Fedora_35_Mass_Rebuild 重建

    [2021.06-2]
    - 修复 bundler 中的硬编码输出目录

    [2021.06-1]
    - 更新到 2021.06-1
    - bundler：处理过时的许可证元数据
    - bundler：当捆绑依赖项没有许可证元数据时给出警告

    [2021.01-3]
    - 已针对 https://fedoraproject.org/wiki/Fedora_34_Mass_Rebuild 重建

    [2021.01-2]
    - nodejs-packaging-bundler 改进：用于处理不常见的字符

    [2021.01]
    - 添加 nodejs-packaging-bundler 并更新 README.md

    [2020.09-1]
    - 移动到 dist-git 作为上游

Tenable 已直接从 Oracle Linux 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Oracle Linux 9 主机上安装的程序包受到 ELSA-2026-7896 公告中提及的多个漏洞影响。

    - 更新到 20.20.2 版将修补程序 nghttp2 更新至 1.68.1 版并禁用可能因此变更而失败的测试。
      解决了 RHEL-164336 修复了 CVE-2026-27135 CVE-2026-27904 CVE-2026-26996 CVE-2026-25547 CVE-2026-21710

    nodejs-nodemon
    - 已解决：CVE-2022-25883
    - 已解决：CVE-2021-35065
    - 衍合到 2.0.20 已解决：CVE-2022-3517
    - 已解决 CVE-2020-28469

Tenable 已直接从 Oracle Linux 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 AlmaLinux 8 主机上安装的程序包受到 ALSA-2026:7123 公告中提及的多个漏洞的影响。

    * brace-expansion: brace-expansion：通过不受限制的大括号扩展导致的拒绝服务 (CVE-2026-25547)
      * minimatch：minimatch：通过特别构建的 glob 模式导致的拒绝服务 (CVE-2026-26996)
      * minimatch：Minimatch：通过 glob 表达式中的灾难性回溯造成拒绝服务 (CVE-2026-27904)
      * undici：undici：在 WebSocket permessage-deflate 解压缩期间，因内存消耗不受限制导致拒绝服务 (CVE-2026-1526)
      * undici：Undici：通过无效 WebSocket permessage-deflate 扩展参数造成的拒绝服务 (CVE-2026-2229)
      * undici：Undici：因重复的 Content-Length 标头造成 HTTP 请求走私和拒绝服务 (CVE-2026-1525)
      * undici：undici：通过精心构造的、长度较大的 WebSocket 帧发起拒绝服务攻击 (CVE-2026-1528)
      * nghttp2：nghttp2：会话终止后通过畸形 HTTP/2 帧进行的拒绝服务 (CVE-2026-27135)
      * Node.js：Node.js：由于构建的 HTTP __proto__ 标头导致拒绝服务（CVE-2026-21710）

Tenable 已直接从 AlmaLinux 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 AlmaLinux 9 主机上安装的程序包受到 ALSA-2026:7350 公告中提及的多个漏洞的影响。

    * nodejs：Nodejs 拒绝服务 (CVE-2026-21637)
      * brace-expansion: brace-expansion：通过不受限制的大括号扩展导致的拒绝服务 (CVE-2026-25547)
      * minimatch：minimatch：通过特别构建的 glob 模式导致的拒绝服务 (CVE-2026-26996)
      * undici：Undici：由于资源消耗不受控制导致拒绝服务 (CVE-2026-2581)
      * undici：Undici：HTTP 标头注入和请求走私漏洞 (CVE-2026-1527)
      * undici：undici：在 WebSocket permessage-deflate 解压缩期间，因内存消耗不受限制导致拒绝服务 (CVE-2026-1526)
      * undici：Undici：通过无效 WebSocket permessage-deflate 扩展参数造成的拒绝服务 (CVE-2026-2229)
      * undici：Undici：因重复的 Content-Length 标头造成 HTTP 请求走私和拒绝服务 (CVE-2026-1525)
      * undici：undici：通过精心构造的、长度较大的 WebSocket 帧发起拒绝服务攻击 (CVE-2026-1528)
      * nghttp2：nghttp2：会话终止后通过畸形 HTTP/2 帧进行的拒绝服务 (CVE-2026-27135)
      * Node.js：Node.js：通过畸形的国际化域名处理导致拒绝服务 (CVE-2026-21712)
      * Node.js：Node.js：由于构建的 HTTP __proto__ 标头导致拒绝服务（CVE-2026-21710）
      * Node.js：Node.js：由于 fs.realpathSync.native() 绕过文件系统读取限制，导致信息泄露 (CVE-2026-21715)
      * nodejs：Node.js：权限绕过：由于安全修复不完整，攻击者可未授权修改文件权限和所有者。(CVE-2026-21716)
      * Node.js：Node.js：因缺少 Unix 域套接字权限检查而导致的未经授权的进程间通信 (CVE-2026-21711)
      * Node.js：Node.js：通过 HMAC 验证中的时序 oracle 造成信息泄露 (CVE-2026-21713)
      * Node.js：Node.js：通过构造的 HTTP/2 WINDOW_UPDATE 帧导致内存泄漏并引发拒绝服务 (CVE-2026-21714)
      * nodejs：v8：Node.js：通过 V8 字符串哈希机制中的可预测哈希碰撞导致拒绝服务 (CVE-2026-21717)

Tenable 已直接从 AlmaLinux 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Oracle Linux 8 主机上安装的程序包受到 ELSA-2026-8339 公告中提及的多个漏洞影响。

    - 将 nghttp2 修补到 1.68.1 版本并禁用因此项变更可能失败的测试。
      解决了 RHEL-154018 修复了 CVE-2026-27135 CVE-2026-27904 CVE-2026-26996 CVE-2026-25547 CVE-2026-21710

    nodejs-nodemon
    - 已解决：CVE-2022-25883
    - 已解决：CVE-2021-35065
    - 衍合到 2.0.20 已解决：CVE-2022-3517
    - 衍合到 2.0.19 已解决：CVE-2022-33987
    - 已解决 CVE-2020-28469
    - 更新至 2.0.7 解决 CVE-2020-28469

Tenable 已直接从 Oracle Linux 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

AlmaLinux 9.2 主机上存在安装的程序包，该程序包受到 TuxCare ALMALINUX9.2：CLSA-2026：2026：1776782592公告中提及的多个漏洞的影响。

  - minimatch 是用于将 glob 表达式转换为 JavaScript RegExp 对象的最小匹配实用工具。
    当 glob 模式包含许多连续的 * 通配符后跟一个未出现在测试字符串中的文字字符时，版本及更低版本 10.2.0 容易受到正则表达式拒绝服务 （ReDoS） 的影响。每个 * 编译成单独的 [^/]*？regex 组，并且当匹配失败时，V8 的 regex 引擎会在所有可能的拆分中以指数方式回溯。时间复杂度为 O（4^N），其中 N 是 * 字符的数量。当 N=15 时，单个 minimatch（） 调用需要 ~2 秒。N=34 时，它会永久有效挂起。将用户控制的字符串作为模式参数传递给 minimatch（） 的任何应用程序都容易受到 DoS 攻击。此问题已在 10.2.1 版本中修复。(CVE-2026-26996)

  - minimatch 是用于将 glob 表达式转换为 JavaScript RegExp 对象的最小匹配实用工具。
    在低于版本10.2.39.0.7的版本中，、 、 7.4.88.0.6、 6.2.2、 5.1.8、 和 3.1.44.2.5嵌套的“*（）”extglob 会产生包含嵌套的无限限定符（如“（？:(？：a|b）*）*”）的正则表达式，这在 V8 中会出现灾难性回溯。使用 12 字节模式“*（*（*（a|b）））”和 18 字节的非匹配输入，“minimatch（）”会停止超过 7 秒。添加单个嵌套级别或几个输入字符会将其推迟到几分钟。
    这是最严重的结果：由默认“minimatch（）”API 触发，没有特殊选项，最小可行模式只有 12 个字节。同样的问题会对“+（）”extglob 造成同样的影响。版本 、 9.0.7、 7.4.88.0.6、 、 6.2.25.1.8、 和4.2.53.1.4修复10.2.3问题。（CVE-2026-27904）

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

Rocky Linux 9 主机上存在安装的程序包，该程序包受到 CIQ crlsa-2026_7350 公告中提及的多个漏洞的影响。

    * nodejs：Nodejs 拒绝服务 (CVE-2026-21637)

    * brace-expansion: brace-expansion：通过不受限制的大括号扩展导致的拒绝服务 (CVE-2026-25547)

    * minimatch：minimatch：通过特别构建的 glob 模式导致的拒绝服务 (CVE-2026-26996)

    * undici：Undici：由于资源消耗不受控制导致拒绝服务 (CVE-2026-2581)

    * undici：Undici：HTTP 标头注入和请求走私漏洞 (CVE-2026-1527)

    * undici：undici：在 WebSocket permessage-deflate 解压缩期间，因内存消耗不受限制导致拒绝服务 (CVE-2026-1526)

    * undici：Undici：通过无效 WebSocket permessage-deflate 扩展参数造成的拒绝服务 (CVE-2026-2229)

    * undici：Undici：因重复的 Content-Length 标头造成 HTTP 请求走私和拒绝服务 (CVE-2026-1525)

    * undici：undici：通过精心构造的、长度较大的 WebSocket 帧发起拒绝服务攻击 (CVE-2026-1528)

    * nghttp2：nghttp2：会话终止后通过畸形 HTTP/2 帧进行的拒绝服务 (CVE-2026-27135)

    * Node.js：Node.js：通过畸形的国际化域名处理导致拒绝服务 (CVE-2026-21712)

    * Node.js：Node.js：由于构建的 HTTP __proto__ 标头导致拒绝服务（CVE-2026-21710）

    * Node.js：Node.js：由于 fs.realpathSync.native() 绕过文件系统读取限制，导致信息泄露 (CVE-2026-21715)

    * nodejs：Node.js：权限绕过：由于安全修复不完整，攻击者可未授权修改文件权限和所有者。(CVE-2026-21716)

    * Node.js：Node.js：因缺少 Unix 域套接字权限检查而导致的未经授权的进程间通信 (CVE-2026-21711)

    * Node.js：Node.js：通过 HMAC 验证中的时序 oracle 造成信息泄露 (CVE-2026-21713)

    * Node.js：Node.js：通过构造的 HTTP/2 WINDOW_UPDATE 帧导致内存泄漏并引发拒绝服务 (CVE-2026-21714)

    * nodejs：v8：Node.js：通过 V8 字符串哈希机制中的可预测哈希碰撞导致拒绝服务 (CVE-2026-21717)

Tenable 已直接从 CIQ 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

Rocky Linux 8 主机上存在安装的程序包，该程序包受到 CIQ crlsa-2026_8339 公告中提及的多个漏洞的影响。

    * minimatch：minimatch：通过特别构建的 glob 模式导致的拒绝服务 (CVE-2026-26996)

    * minimatch：Minimatch：通过 glob 表达式中的灾难性回溯造成拒绝服务 (CVE-2026-27904)

    * nghttp2：nghttp2：会话终止后通过畸形 HTTP/2 帧进行的拒绝服务 (CVE-2026-27135)

    * Node.js：Node.js：由于构建的 HTTP __proto__ 标头导致拒绝服务（CVE-2026-21710）

Tenable 已直接从 CIQ 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
306250	Oracle Linux 8：nodejs:24 (ELSA-2026-7670)	Nessus	Oracle Linux Local Security Checks	2026/4/13	2026/4/13	high
306467	Oracle Linux 9：nodejs:20 (ELSA-2026-7896)	Nessus	Oracle Linux Local Security Checks	2026/4/14	2026/4/14	high
306655	AlmaLinux 8：nodejs:22 (ALSA-2026:7123)	Nessus	Alma Linux Local Security Checks	2026/4/16	2026/4/16	critical
306669	AlmaLinux 9：nodejs:24 (ALSA-2026:7350)	Nessus	Alma Linux Local Security Checks	2026/4/16	2026/4/16	critical
307484	Oracle Linux 8：nodejs:20 (ELSA-2026-8339)	Nessus	Oracle Linux Local Security Checks	2026/4/19	2026/4/19	high
352310	AlmaLinux 9.2 [TuxCare] 安全更新：nodejs / nodejs-devel / nodejs-docs / nodejs-full-i18n / 等多个漏洞（ALMALINUX9.2：CLSA-2026：1776782592）	Nessus	Alma Linux Local Security Checks	2026/9/30	2026/9/30	high
354171	Rocky Linux 9 [CIQ] 安全更新：nodejs / nodejs-debuginfo / nodejs-debugsource / nodejs-devel / etc 多种漏洞（crlsa-2026_7350）	Nessus	Rocky Linux Local Security Checks	2026/10/1	2026/10/1	critical
355138	Rocky Linux 8 [CIQ] 安全更新：nodejs / nodejs-debuginfo / nodejs-debugsource / nodejs-devel / etc 多种漏洞（crlsa-2026_8339）	Nessus	Rocky Linux Local Security Checks	2026/10/1	2026/10/1	high

检测

插件搜索

high

high

critical

critical

high

high

critical

high