Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - 当将“X.509”证书字段转换为 UTF-8 而不释放已分配的缓冲区时Node.js 的 OpenSSL 集成中会发生内存泄漏。当应用程序调用“socket.getPeerCertificate(true)”时每个证书字段会泄漏内存允许远程客户端通过重复的 TLS 连接触发稳定的内存增长。随着时间的推移这会导致资源耗尽和拒绝服务。 (CVE-2025-59464)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

远程主机上安装的 Node.js 版本低于 20.20.0、22.22.0、24.13.0、24.13.0、25.3.0。 因此，它受到 2026 年 1 月 13 日星期二安全版本公告中提及的多个漏洞影响。

  - Node.js 权限模型中的缺陷允许通过 futimes() 更改文件的访问和修改时间戳，即使在进程只有读取权限时也是如此。与 utimes() 不同，futimes() 不会应用预期的写入权限检查，这表示可在只读目录中修改文件元数据。可利用此行为以隐藏活动的方式更改时间戳，从而降低日志的可靠性 (CVE-2025-55132)

  - 使用带超时选项的 vm 模块时，若分配过程中断，Node.js 缓冲区分配逻辑中的缺陷可能导致未初始化内存泄露。在特定时序条件下，通过 Buffer.alloc 和其他 TypedArray 实例（如 Uint8Array）分配的缓冲区可能包含之前操作残留的数据，此漏洞可导致进程内机密信息（如令牌或密码）泄露或数据损坏。要成功利用此漏洞，攻击者通常需要精确控制时序，或能在进程内执行代码，但若攻击者能通过不受信任的输入来影响工作负载或超时机制，则该漏洞可能升级为远程可利用状态，从而对数据的机密性和完整性构成潜在威胁。影响：感谢 Nikita Skovoroda 报告并修复此漏洞。(CVE-2025-55131)

  - Node.js 的权限模型存在缺陷，使攻击者能够利用恶意构建的相对符号链接路径绕过 --allow-fs-read 和 --allow-fs-write 限制。通过串联目录和符号链接，仅拥有当前目录访问权限的脚本可以转义预设路径，从而读取敏感文件。此问题破坏了既定的隔离防护机制，使攻击者能够执行任意文件读取/写入操作，从而造成潜在的系统失陷风险。影响：感谢 natann 报告此漏洞，同时感谢 RafaelGSS 修复此漏洞。(CVE-2025-55130)

  - 包含过大、无效 HPACK 数据的畸形 HTTP/2 HEADERS 帧可能触发未处理的 TLSSocket 错误 ECONNRESET，从而造成 Node.js 崩溃。进程未能安全终止连接，而是发生崩溃，使攻击者得以实施远程拒绝服务攻击。该问题主要影响未将明确错误处理程序附加至安全套接字的应用程序，例如：server.on('secureConnection', socket => {socket.on('error', err => { console.log(err); } ); }); JavaScript复制到剪贴板 影响：感谢 dantt 报告此漏洞，同时感谢 RafaelGSS 修复此漏洞。(CVE-2025-59465)

  - 我们发现 Node.js 错误处理机制中存在一个缺陷：当 async_hooks.createHook() 启用时，系统无法捕获“超出调用堆栈大小上限”错误。进程不会到达 process.on('uncaughtException')，而是直接终止，造成不可恢复的崩溃。在特定条件下，依赖 AsyncLocalStorage（v22、v20）或 async_hooks.createHook()（v24、v22、v20）的应用程序可能因深度递归造成不可恢复的进程崩溃，从而引发拒绝服务攻击。此补丁仅针对某一极端情况改善了系统的可恢复性，但更普遍的风险仍然存在。空间耗尽后的恢复机制缺乏明确规范，仅属于尽力而为的处理方式，无法作为可用性或安全性的可靠依据。在对可用性具有关键影响的路径中，若递归深度可能受到不受信任的输入影响，应优先实施输入验证，并采用能限制或避免递归的设计，而不应依赖运行时/引擎的堆栈空间耗尽行为或尾调用优化缺失作为防护手段。有关详细信息，请参阅此博客文章。影响：感谢 Andrew MacPherson (AndrewMohawk) 识别此漏洞，感谢 aaron_vercel 报告此漏洞，同时也感谢 mcollina 修复此漏洞。
    (CVE-2025-59466)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

因此，该软件受到 ALAS2023-2026-1404 公告中提及的多个漏洞影响。

    使用构建的符号链接绕过文件系统权限CVE-2025-55130

    Node.js 缓冲区分配逻辑中的缺陷在使用具有超时选项的 vm 模块时分配中断时可能暴露未初始化的内存。在特定时序条件下，通过 Buffer.alloc 和其他 TypedArray 实例（如 Uint8Array）分配的缓冲区可能包含之前操作残留的数据，此漏洞可导致进程内机密信息（如令牌或密码）泄露或数据损坏。

    尽管漏洞利用通常需要精确定时或需要进程内代码执行，但当不受信任的输入影响工作负载和超时时，该漏洞也可能被远程利用，从而导致潜在的机密性和完整性影响。 (CVE-2025-55131)

    fs.futimes() 绕过只读权限模型 (CVE-2025-55132)

    针对处理 TLS 客户端证书的应用程序造成远程拒绝服务的内存泄漏 (CVE-2025-59464)

    Node.js HTTP/2 服务器在接收畸形 HEADERS 帧时因未处理的错误而崩溃 (CVE-2025-59465)

    Node.js 上通过 async_hooks 发生的超出 Uncatchable maximum call stack size 的错误导致绕过错误处理程序的进程崩溃 (CVE-2025-59466)

    TLS PSK/ALPN 回调异常绕过错误处理程序造成 DoS 和 FD 泄漏

    注意：https://nodejs.org/en/blog/vulnerability/december-2025-security-releases#tls-pskalpn-callback-exceptions-bypass-error-handlers-causing-dos-and-fd-leak-cve-2026-21637---medium (CVE-2026-21637)

    Undici 是 Node.js 的 HTTP/1.1 客户端。在 7.18.0 和 6.23.0之前的版本中解压缩链中的链接数量不受限制默认的 maxHeaderSize 可让恶意服务器插入数千个压缩步骤从而导致高 CPU 使用率和过量内存分配。此漏洞已在 7.18.0 和 6.23.0 中修复。(CVE-2026-22036)

Tenable 已直接从测试产品的安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
283720	Linux Distros 未修补的漏洞：CVE-2025-59464	Nessus	Misc.	2026/1/14	2026/4/29	high
282656	Node.js 20.x < 20.20.0 / 22.x < 22.22.0 / 24.x < 24.13.0 / 24.x < 24.13.0 / 25.x < 25.3.0 多个漏洞（2026 年 1 月 13 日星期二安全版本）。	Nessus	Misc.	2026/1/13	2026/4/30	medium
298098	Amazon Linux 2023nodejs24、nodejs24-devel、nodejs24-full-i18n (ALAS2023-2026-1404)	Nessus	Amazon Linux Local Security Checks	2026/2/5	2026/4/3	medium

检测

插件搜索

high

medium

medium