远程 CentOS Linux 8 主机上安装的程序包受到 CESA-2020: 0579 公告中提及的多个漏洞的影响。

  - nodejs：通过畸形证书字符串远程触发 TLS 服务器上的断言 (CVE-2019-15604)

  - nodejs：使用格式错误的传输编码标头的 HTTP 请求走私 (CVE-2019-15605)

  - nodejs：HTTP 标头值没有修剪末尾可选空白 (CVE-2019-15606)

  - npm：安装后通过 bin 字段来符号链接 node_modules 文件夹外的引用 (CVE-2019-16775)

  - npm：通过 package.json bin 字段中的构建条目写入任意文件 (CVE-2019-16776)

  - npm：全局 node_modules 二进制覆盖 (CVE-2019-16777)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Redhat Enterprise Linux 8 主机上安装的程序包受到 RHSA-2020: 0579 公告中提及的多个漏洞的影响。

  - nodejs：通过畸形证书字符串远程触发 TLS 服务器上的断言 (CVE-2019-15604)

  - nodejs：使用格式错误的传输编码标头的 HTTP 请求走私 (CVE-2019-15605)

  - nodejs：HTTP 标头值没有修剪末尾可选空白 (CVE-2019-15606)

  - npm：安装后通过 bin 字段来符号链接 node_modules 文件夹外的引用 (CVE-2019-16775)

  - npm：通过 package.json bin 字段中的构建条目写入任意文件 (CVE-2019-16776)

  - npm：全局 node_modules 二进制覆盖 (CVE-2019-16777)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Oracle Linux 8 主机上安装的程序包受到 ELSA-2020-0579 公告中提及的多个漏洞的影响。

  - Nodejs 10、12 和 13 版的 HTTP 标头值中包含结尾空白字符，这会造成攻击者根据标头值比较结果绕过授权 (CVE-2019-15606)

  - npm CLI 6.13.3 之前的版本容易受到任意文件写入攻击。在安装时，程序包可以通过 bin 字段创建指向 node_modules 文件夹之外文件的符号链接。在 package.json bin 字段中正确构建的条目允许程序包发布者在安装程序包时创建指向用户系统中任意文件的符号链接。通过安装脚本安装时仍然可能出现此行为。此漏洞会绕过使用 --ignore-scripts 安装选项的用户。(CVE-2019-16775)

  - npm CLI 6.13.4 之前的版本容易受到任意文件覆盖攻击。它无法阻止其他程序包安装覆盖现有全局安装的二进制文件。例如，如果应用程序全局安装了一个程序包并创建了 serve 二进制文件，则后续安装同样会创建 serve 二进制文件的程序包时将覆盖之前的 serve 二进制文件。在本地安装中以及通过安装脚本安装时仍会允许此行为。此漏洞会绕过使用 --ignore-scripts 安装选项的用户。(CVE-2019-16777)

  - Node.js 10、12 和 13 版中存在证书验证不当问题，会造成进程在发送构建的 X.509 证书时中止 (CVE-2019-15604)

  - 当传输编码畸形时，Node.js 10、12 和 13 中的 HTTP 请求走私造成恶意负载交付 (CVE-2019-15605)

  - npm CLI 6.13.3 之前的版本容易受到任意文件写入攻击。它无法阻止通过 bin 字段访问预期 node_modules 文件夹之外的文件夹。在 package.json bin 字段中正确构建的条目允许程序包发布者在安装程序包时修改和/或取得对用户系统中任意文件的访问权。通过安装脚本安装时仍然可能出现此行为。此漏洞会绕过使用 --ignore-scripts 安装选项的用户。(CVE-2019-16776)

请注意，Nessus 尚未测试此问题，而是只依赖于应用程序自我报告的版本号。

远程 Redhat Enterprise Linux 7 主机上安装的程序包受到 RHSA-2020: 0597 公告提及的漏洞的影响。

  - nodejs：通过畸形证书字符串远程触发 TLS 服务器上的断言 (CVE-2019-15604)

  - nodejs：使用格式错误的传输编码标头的 HTTP 请求走私 (CVE-2019-15605)

  - nodejs：HTTP 标头值没有修剪末尾可选空白 (CVE-2019-15606)

  - npm：安装后通过 bin 字段来符号链接 node_modules 文件夹外的引用 (CVE-2019-16775)

  - npm：通过 package.json bin 字段中的构建条目写入任意文件 (CVE-2019-16776)

  - npm：全局 node_modules 二进制覆盖 (CVE-2019-16777)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Redhat Enterprise Linux 7 主机上安装的程序包受到 RHSA-2020: 2625 公告中提及的漏洞的影响。

  - nodejs-brace-expansion：正则表达式拒绝服务 (CVE-2017-18077)

  - nodejs-chownr：chownr.js 的 `chownr` 函数中的 TOCTOU 漏洞 (CVE-2017-18869)

  - nodejs-sshpk：在 lib/formats/ssh.js 中解析构建的无效公钥时发生 ReDoS (CVE-2018-3737)

  - nodejs-deep-extend：原型污染可允许攻击者修改对象属性 (CVE-2018-3750)

  - npm：安装后通过 bin 字段来符号链接 node_modules 文件夹外的引用 (CVE-2019-16775)

  - npm：通过 package.json bin 字段中的构建条目写入任意文件 (CVE-2019-16776)

  - npm：全局 node_modules 二进制覆盖 (CVE-2019-16777)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - npm CLI 6.13.3 之前的版本容易受到任意文件写入攻击。在安装时，程序包可以通过 bin 字段创建指向 node_modules 文件夹之外文件的符号链接。在 package.json bin 字段中正确构建的条目允许程序包发布者在安装程序包时创建指向用户系统中任意文件的符号链接。通过安装脚本安装时仍然可能出现此行为。此漏洞会绕过使用 --ignore-scripts 安装选项的用户。(CVE-2019-16775)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

远程iraclelinux 7 主机上存在安装的程序包该程序包受到 AXSA:2020-4480:02 公告中提及的多个漏洞的影响。

    * nodejs使用畸形传输编码标头的 HTTP 请求走私CVE-2019-15605
      * nodejs通过畸形证书字符串在 TLS 服务器上远程触发断言 (CVE-2019-15604)
      * nodejsHTTP 标头值没有修剪末尾可选空白 (CVE-2019-15606)
      * npm安装时通过 bin 字段引用 node_modules 文件夹外部的符号链接 (CVE-2019-16775)
      * npm通过 package.json bin 字段中构建的条目进行任意文件写入 (CVE-2019-16776)
      * npm全局 node_modules 二进制覆盖 (CVE-2019-16777)

Tenable 已直接从MiracleLinux 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Redhat Enterprise Linux 8 主机上安装的程序包受到 RHSA-2020: 0573 公告中提及的多个漏洞的影响。

  - nodejs：通过畸形证书字符串远程触发 TLS 服务器上的断言 (CVE-2019-15604)

  - nodejs：使用格式错误的传输编码标头的 HTTP 请求走私 (CVE-2019-15605)

  - nodejs：HTTP 标头值没有修剪末尾可选空白 (CVE-2019-15606)

  - npm：安装后通过 bin 字段来符号链接 node_modules 文件夹外的引用 (CVE-2019-16775)

  - npm：通过 package.json bin 字段中的构建条目写入任意文件 (CVE-2019-16776)

  - npm：全局 node_modules 二进制覆盖 (CVE-2019-16777)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Redhat Enterprise Linux 7 主机上安装的程序包受到 RHSA-2020: 0602 公告中提及的多个漏洞的影响。

  - nodejs：通过畸形证书字符串远程触发 TLS 服务器上的断言 (CVE-2019-15604)

  - nodejs：使用格式错误的传输编码标头的 HTTP 请求走私 (CVE-2019-15605)

  - nodejs：HTTP 标头值没有修剪末尾可选空白 (CVE-2019-15606)

  - npm：安装后通过 bin 字段来符号链接 node_modules 文件夹外的引用 (CVE-2019-16775)

  - npm：通过 package.json bin 字段中的构建条目写入任意文件 (CVE-2019-16776)

  - npm：全局 node_modules 二进制覆盖 (CVE-2019-16777)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程iraclelinux 7 主机上存在安装的程序包该程序包受到 AXSA:2020-4479:01 公告中提及的多个漏洞的影响。

    * nodejs使用畸形传输编码标头的 HTTP 请求走私CVE-2019-15605
      * nodejs通过畸形证书字符串在 TLS 服务器上远程触发断言 (CVE-2019-15604)
      * nodejsHTTP 标头值没有修剪末尾可选空白 (CVE-2019-15606)
      * npm安装时通过 bin 字段引用 node_modules 文件夹外部的符号链接 (CVE-2019-16775)
      * npm通过 package.json bin 字段中构建的条目进行任意文件写入 (CVE-2019-16776)
      * npm全局 node_modules 二进制覆盖 (CVE-2019-16777)

Tenable 已直接从MiracleLinux 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程iraclelinux 7 主机上存在安装的程序包该程序包受到 AXSA:2020-200:01 公告中提及的多个漏洞的影响。

    * nodejs-brace-expansion正则表达式拒绝服务 (CVE-2017-18077)
      * nodejs-chownr在 chownr.js 中“chownr”函数的 TOCTOU 漏洞 (CVE-2017-18869)
      * nodejs-sshpk解析 lib/formats/ssh.js 中特制的无效公钥时的 ReDoS (CVE-2018-3737)
      * nodejs-deep-extend原型污染可允许攻击者修改对象属性 (CVE-2018-3750)
      * npm安装时通过 bin 字段引用 node_modules 文件夹外部的符号链接 (CVE-2019-16775)
      * npm通过 package.json bin 字段中构建的条目进行任意文件写入 (CVE-2019-16776)
      * npm全局 node_modules 二进制覆盖 (CVE-2019-16777)

Tenable 已直接从MiracleLinux 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Rocky Linux 8 主机上存在安装的程序包该程序包受到公告 RLSA-2020:0579 中提及的多个漏洞的影响。

  - Node.js 10、12 和 13 版中存在证书验证不当问题，会造成进程在发送构建的 X.509 证书时中止 (CVE-2019-15604)

  - 当传输编码畸形时，Node.js 10、12 和 13 中的 HTTP 请求走私造成恶意负载交付 (CVE-2019-15605)

  - Nodejs 10、12 和 13 版的 HTTP 标头值中包含结尾空白字符，这会造成攻击者根据标头值比较结果绕过授权 (CVE-2019-15606)

  - npm CLI 6.13.3 之前的版本容易受到任意文件写入攻击。在安装时，程序包可以通过 bin 字段创建指向 node_modules 文件夹之外文件的符号链接。在 package.json bin 字段中正确构建的条目允许程序包发布者在安装程序包时创建指向用户系统中任意文件的符号链接。通过安装脚本安装时仍然可能出现此行为。此漏洞会绕过使用 --ignore-scripts 安装选项的用户。(CVE-2019-16775)

  - npm CLI 6.13.3 之前的版本容易受到任意文件写入攻击。它无法阻止通过 bin 字段访问预期 node_modules 文件夹之外的文件夹。在 package.json bin 字段中正确构建的条目允许程序包发布者在安装程序包时修改和/或取得对用户系统中任意文件的访问权。通过安装脚本安装时仍然可能出现此行为。此漏洞会绕过使用 --ignore-scripts 安装选项的用户。(CVE-2019-16776)

  - npm CLI 6.13.4 之前的版本容易受到任意文件覆盖攻击。它无法阻止其他程序包安装覆盖现有全局安装的二进制文件。例如，如果应用程序全局安装了一个程序包并创建了 serve 二进制文件，则后续安装同样会创建 serve 二进制文件的程序包时将覆盖之前的 serve 二进制文件。在本地安装中以及通过安装脚本安装时仍会允许此行为。此漏洞会绕过使用 --ignore-scripts 安装选项的用户。(CVE-2019-16777)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
145979	CentOS 8：nodejs: 10 (CESA-2020: 0579)	Nessus	CentOS Local Security Checks	2021/2/1	2024/1/24	critical
134062	RHEL 8：nodejs: 10 (RHSA-2020: 0579)	Nessus	Red Hat Local Security Checks	2020/2/26	2024/11/7	critical
140035	Oracle Linux 8：nodejs：10 (ELSA-2020-0579)	Nessus	Oracle Linux Local Security Checks	2020/8/28	2024/11/1	critical
170312	RHEL 7：rh-nodejs10-nodejs (RHSA-2020: 0597)	Nessus	Red Hat Local Security Checks	2023/1/23	2024/11/7	critical
170350	RHEL 7：rh-nodejs8-nodejs (RHSA-2020: 2625)	Nessus	Red Hat Local Security Checks	2023/1/23	2024/11/7	critical
253288	Linux Distros 未修补的漏洞：CVE-2019-16775	Nessus	Misc.	2025/8/21	2026/4/28	medium
294116	MagicLinux 7rh-nodejs12-nodejs-12.16.1-1.el7 (AXSA:2020-4480:02)	Nessus	Miracle Linux Local Security Checks	2026/1/20	2026/1/20	critical
134028	RHEL 8：nodejs: 10 (RHSA-2020: 0573)	Nessus	Red Hat Local Security Checks	2020/2/25	2024/11/7	critical
170354	RHEL 7：rh-nodejs12-nodejs (RHSA-2020: 0602)	Nessus	Red Hat Local Security Checks	2023/1/23	2024/11/7	critical
291716	MagicLinux 7rh-nodejs10-nodejs-10.19.0-1.el7 (AXSA:2020-4479:01)	Nessus	Miracle Linux Local Security Checks	2026/1/19	2026/1/19	critical
294570	MagicLinux 7rh-nodejs8-nodejs-8.17.0-2.el7 (AXSA:2020-200:01)	Nessus	Miracle Linux Local Security Checks	2026/1/20	2026/1/20	critical
184706	Rocky Linux 8nodejs:10 (RLSA-2020:0579)	Nessus	Rocky Linux Local Security Checks	2023/11/6	2023/11/6	critical

检测

插件搜索

critical

critical

critical

critical

critical

medium

critical

critical

critical

critical

critical

critical