There are packages installed that are affected by a vulnerability referenced in the following CVE:

  - shell-quote prior to 1.8.5 finalizes parsed tokens in parse() using Array.prototype.concat as a reduce
    accumulator, which reallocates and copies the entire growing array on every iteration. As a result parse()
    runs in O(n^2) time relative to the number of input tokens. An attacker who can supply an attacker-
    controlled string to any code path that calls parse() (no shell metacharacters are required; plain space-
    separated words suffice) can block the single-threaded Node.js event loop for an extended period with a
    small input, resulting in a denial of service. There is no code execution or data disclosure; impact is to
    availability only. Fixed in 1.8.5. (CVE-2026-13311)

远程 Debian 13 主机上存在安装的程序包，该程序包受到 dsa-6548 公告中提及的多个漏洞的影响。

    - ------------------------------------------------------------------------- Debian 安全公告 DSA-6548-1 security@debian.org https://www.debian.org/security/Salvatore Bonaccorso 2026 年 10 月 6 日 https://www.debian.org/security/faq
    - -------------------------------------------------------------------------

    程序包：node-shell-quote CVE ID： CVE-2026-13311 CVE-2026-102422 Debian 缺陷：1140921 1149713

    在用于引用和解析 shell 命令的Node.js模块 node-shell-quote 中发现两个漏洞，可导致拒绝服务或 shell 命令注入。

    对于稳定发行版本 （trixie），已在版本 1.7.4+~1.7.1-1+deb13u2 中修复这些问题。

    建议您升级 node-shell-quote 程序包。

    有关 node-shell-quote 的详细安全状态，请参阅其安全跟踪页面：
    https://security-tracker.debian.org/tracker/node-shell-quote

    有关 Debian 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://www.debian.org/security/

    邮件列表：debian-security-announce@lists.debian.org

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且廠商未提供可用的修補程式。

  - shell-quote before 使用 1.8.5 Array.prototype.concat 作為 reduce 累加器，在 parse（） 中完成解析的標記，這會在每次迭代時重新分配並複製整個不斷增長的數組。因此，parse（） 在相對於輸入權杖數量的 O（n^2） 時間內執行。攻擊者若能將攻擊者控制的字串提供給任何呼叫 parse（） 的程式碼路徑 （不需要殼層中繼字元，以空格分隔的純字即可），則只要輸入很小，就能長時間封鎖單執行緒的 Node.js 事件迴圈，進而造成拒絕服務。沒有程式碼執行或資料洩露;影響僅限於可用性。已在 1.8.5 版中修正。(CVE-2026-13311)

請注意，Nessus 的判定取決於廠商所報告的套件是否存在。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - shell-quote 之前 1.8.5 使用 Array.prototype.concat 作为 reduce 累加器完成 parse（） 中的解析标记，这会在每次迭代时重新分配并复制整个不断增长的数组。因此，相对于输入标记数，parse（） 以 O（n^2） 时间运行。攻击者如果能够向调用 parse（） 的任何代码路径提供攻击者控制的字符串（不需要 shell 元字符，只需用普通空格分隔的单词即可），则可以通过较小的输入长时间阻断单线程 Node.js 事件循环，从而导致拒绝服务。不存在代码执行或数据泄露;影响仅限于可用性。已在 1.8.5 版中修复。(CVE-2026-13311)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

遠端 Debian 13 主機安裝了一個套件，該套件受到 dsa-6548 公告中提及的多個弱點影響。

    - ------------------------------------------------------------------------- Debian安全公告 DSA-6548-1 security@debian.org https://www.debian.org/security/Salvatore Bonaccorso 2026 年 10 月 6 日 https://www.debian.org/security/faq
    - -------------------------------------------------------------------------

    套件 ： node-shell-quote CVE ID ： CVE-2026-13311 CVE-2026-102422 Debian 錯誤 ： 1140921 1149713

    在 node-shell-quote 中發現兩個弱點，node-shell-quote 是一個用於引用和剖析殼層命令的Node.js模組，這可能導致拒絕服務或殼層命令插入。

    對於穩定版 （trixie），這些問題已在 +~1.7.1-1+deb13u2 版 1.7.4中修正。

    我們建議您升級 node-shell-quote 套件。

    有關 node-shell-quote 的詳細安全狀態，請參閱其安全追蹤器頁面：
    https://security-tracker.debian.org/tracker/node-shell-quote

    有關 Debian 安全公告、如何將這些更新套用至您的系統以及常見問題的詳細資訊，請參閱 : https://www.debian.org/security/

    郵寄清單：debian-security-announce@lists.debian.org

Tenable 已直接從 Debian 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

リモートの openSUSE 16 ホストに、複数の脆弱性の影響を受けているパッケージがインストールされています。これらの脆弱性は openSUSE-SU-2026:21176-1 アドバイザリで言及されています。

    python-pytest-html の変更点:

    - shell-quote および js-yaml deps を更新するリベンダー:
      - CVE-2026-13311:shell-quote:非効率な入力解析により、サービス拒否が引き起こされる可能性があります(bsc#1269361)
      - CVE-2026-53550:js-yaml:細工された YAML ドキュメントを処理する際の二次複雑度により、CPU 消耗につながる可能性があります(bsc#1268818)

Tenable は、前述の記述ブロックを SUSE セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートのDebian 13ホストには、dsa-6548アドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    - ------------------------------------------------------------------------- Debianセキュリティアドバイザリ DSA-6548-1 security@debian.org https://www.debian.org/security/Salvatore Bonaccorso 2026 年 10 月 6 日 https://www.debian.org/security/faq
    - -------------------------------------------------------------------------

    パッケージ:node-shell-quote CVE ID: CVE-2026-13311 CVE-2026-102422 Debian バグ:1140921 1149713

    シェルコマンドを引用および解析するNode.jsモジュールであるnode-shell-quoteに2つの脆弱性が発見されました。これにより、サービス拒否またはシェルコマンドインジェクションが引き起こされる可能性があります。

    安定版(stable)ディストリビューション(trixie)では、これらの問題はバージョン 1.7.4+~1.7.1-1+deb13u2 で修正されています。

    node-shell-quote パッケージをアップグレードすることを推奨します。

    node-shell-quote の詳細なセキュリティステータスについては、次のセキュリティトラッカーのページを参照してください:
    https://security-tracker.debian.org/tracker/node-shell-quote

    Debian セキュリティアドバイザリに関する詳細、これらの更新をシステムに適用する方法、およびよくある質問については、こちらを参照してください。https://www.debian.org/security/

    メーリングリスト: debian-security-announce@lists.debian.org

前述の説明ブロックは、Tenable が Debian セキュリティアドバイザリから直接抽出したものです。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - 1.8.5 より前の shell-quote は、Array.prototype.concat を reduce アキュムレーターとして使用して parse() で解析されたトークンをファイナライズします。これは、反復するたびに、増加する配列全体を再割り当てしてコピーします。その結果、parse() は入力トークンの数に対して O(n^2) 時間で実行されます。攻撃者が制御する文字列を、parse() を呼び出す任意のコードパスに供給できる攻撃者は(シェルのメタ文字は不要で、平文なスペース区切りの単語で十分です)、小さな入力でシングルスレッドのNode.jsイベントループを長期間ブロックし、サービス拒否を引き起こす可能性があります。コードの実行やデータ漏洩はありません。影響は可用性にのみ影響します。1.8.5 で修正されました。(CVE-2026-13311)

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

The remote openSUSE 16 host has a package installed that is affected by multiple vulnerabilities as referenced in the openSUSE-SU-2026:21448-1 advisory.

    - CVE-2025-7783: form-data: unsafe `Math.random()` function is used to select a boundary value for     multipart       form-encoded data (bsc#1246822).
    - CVE-2026-12143: form-data: CRLF injection via unescaped multipart field names and filenames     (bsc#1272310).
    - CVE-2026-13149: brace-expansion: `expand()` function exhibits exponential-time complexity when     processing       non-expanding `{}` brace groups (bsc#1269927).
    - CVE-2026-13311: shell-quote: quadratic complexity in `parse()` function when processing specially     crafted strings       (bsc#1269359).
    - CVE-2026-13676: fast-uri: host-based policy bypass due to failure to canonicalize Unicode/IDN hostnames     for       HTTP-family URLs (bsc#1269595).
    - CVE-2026-27601: underscore: DoS via stack overflow due to missing depth limits in `_.flatten` and     `_.isEqual`       functions (bsc#1259169).
    - CVE-2026-40181: react-router: open redirect to an external domain due to path values starting with `//`     being       reinterpreted as protocol-relative URLs (bsc#1272311).
    - CVE-2026-49356: @babel/core: arbitrary file read via `sourceMappingURL` comment (bsc#1272317).
    - CVE-2026-53550: js-yaml: quadratic complexity in merge-key processing when processing a crafted YAML     document       (bsc#1268851).
    - CVE-2026-53632: launch-editor: NTLMv2 hash disclosure via UNC path handling on Windows (bsc#1272319).
    - CVE-2026-54466: websocket-driver: message corruption via abuse of protocol length headers (bsc#1272312).
    - CVE-2026-54490: websocket-driver: resource limit bypass via message compression (bsc#1272313).
    - CVE-2026-55602: http-proxy-middleware: Host-header-driven backend routing bypass via `router` host+path     substring       matching (bsc#1272318).

Tenable has extracted the preceding description block directly from the SUSE security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

The remote Debian 13 host has a package installed that is affected by multiple vulnerabilities as referenced in the dsa-6548 advisory.

    - -------------------------------------------------------------------------     Debian Security Advisory DSA-6548-1                   security@debian.org     https://www.debian.org/security/                     Salvatore Bonaccorso     October 06, 2026                      https://www.debian.org/security/faq
    - -------------------------------------------------------------------------

    Package        : node-shell-quote     CVE ID         : CVE-2026-13311 CVE-2026-102422     Debian Bug     : 1140921 1149713

    Two vulnerabilities were discovered in node-shell-quote, a Node.js     module to quote and parse shell commands, which could result in denial     of service or shell command injection.

    For the stable distribution (trixie), these problems have been fixed in     version 1.7.4+~1.7.1-1+deb13u2.

    We recommend that you upgrade your node-shell-quote packages.

    For the detailed security status of node-shell-quote please refer to its     security tracker page at:
    https://security-tracker.debian.org/tracker/node-shell-quote

    Further information about Debian Security Advisories, how to apply     these updates to your system and frequently asked questions can be     found at: https://www.debian.org/security/

    Mailing list: debian-security-announce@lists.debian.org

Tenable has extracted the preceding description block directly from the Debian security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

The remote openSUSE 16 host has a package installed that is affected by multiple vulnerabilities as referenced in the openSUSE-SU-2026:21176-1 advisory.

    Changes in python-pytest-html:

    - Revendor updating shell-quote and js-yaml deps:
      - CVE-2026-13311: shell-quote: inefficient input parsing can lead to a         denial of service (bsc#1269361)
      - CVE-2026-53550: js-yaml: quadratic complexity when processing a         crafted YAML document can lead to CPU exhaustion (bsc#1268818)

Tenable has extracted the preceding description block directly from the SUSE security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

The remote Debian 12 host has a package installed that is affected by multiple vulnerabilities as referenced in the dla-4901 advisory.

    - -------------------------------------------------------------------------     Debian LTS Advisory DLA-4901-1                debian-lts@lists.debian.org     https://www.debian.org/lts/security/                        Simon Quigley     November 12, 2026                             https://wiki.debian.org/LTS
    - -------------------------------------------------------------------------

    Package        : node-shell-quote     Version        : 1.7.4+~1.7.1-1+deb12u2     CVE ID         : CVE-2026-13311 CVE-2026-102422

    node-shell-quote quotes and parses shell commands for Node.js     programs.

    An attacker who can supply the text a program quotes after a comment     can run a shell command. An attacker who can supply the text a     program parses can stall that program.

    CVE-2026-102422

        quote() turns a comment token into a shell comment. That comment         runs to the end of the line, including the opening quote of a         later string. A line break in that later string ends the         comment, and the rest of the string is shell syntax.

    CVE-2026-13311

        parse() copied the whole token list again for every token it         kept. The work grows with the square of the number of tokens.

    For Debian 12 bookworm, these problems have been fixed in version     1.7.4+~1.7.1-1+deb12u2.

    We recommend that you upgrade your node-shell-quote packages.

    For the detailed security status of node-shell-quote please refer to     its security tracker page at:
    https://security-tracker.debian.org/tracker/node-shell-quote

    Further information about Debian LTS security advisories, how to apply     these updates to your system, and frequently asked questions can be     found at: https://wiki.debian.org/LTS

Tenable has extracted the preceding description block directly from the Debian security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

The Linux/Unix host has one or more packages installed that are impacted by a vulnerability without a vendor supplied patch available.

  - shell-quote prior to 1.8.5 finalizes parsed tokens in parse() using Array.prototype.concat as a reduce     accumulator, which reallocates and copies the entire growing array on every iteration. As a result parse()     runs in O(n^2) time relative to the number of input tokens. An attacker who can supply an attacker-     controlled string to any code path that calls parse() (no shell metacharacters are required; plain space-     separated words suffice) can block the single-threaded Node.js event loop for an extended period with a     small input, resulting in a denial of service. There is no code execution or data disclosure; impact is to     availability only. Fixed in 1.8.5. (CVE-2026-13311)

Note that Nessus relies on the presence of the package as reported by the vendor.

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
464022	Echo: shell-quote: security update to 1.9.0	Tenable Cloud Security	Echo Local Security Checks	2026/10/2	2026/10/5	high
464022	Echo: shell-quote: security update to 1.9.0	Tenable Self-Hosted Container Security	Echo Local Security Checks	2026/10/2	2026/10/5	high
363443	Debian DSA-6548：node-shell-quote - 安全更新	Nessus	Debian Local Security Checks	2026/10/6	2026/10/6	critical
323323	Linux Distros 未修補弱點：CVE-2026-13311	Nessus	Misc.	2026/6/28	2026/11/13	high
323323	Linux Distros 未修补的漏洞：CVE-2026-13311	Nessus	Misc.	2026/6/28	2026/11/13	high
363443	Debian dsa-6548：node-shell-quote - 安全性更新	Nessus	Debian Local Security Checks	2026/10/6	2026/10/6	critical
324890	openSUSE 16 セキュリティ更新:python-pytest-html(openSUSE-SU-2026:21176-1)	Nessus	SuSE Local Security Checks	2026/7/2	2026/7/20	high
363443	Debian dsa-6548:node-shell-quote - セキュリティ更新	Nessus	Debian Local Security Checks	2026/10/6	2026/10/6	critical
323323	Linux Distros のパッチ未適用の脆弱性: CVE-2026-13311	Nessus	Misc.	2026/6/28	2026/11/13	high
330583	openSUSE 16 Security Update : agama-web-ui (openSUSE-SU-2026:21448-1)	Nessus	SuSE Local Security Checks	2026/7/29	2026/7/29	critical
363443	Debian dsa-6548 : node-shell-quote - security update	Nessus	Debian Local Security Checks	2026/10/6	2026/10/6	critical
324890	openSUSE 16 Security Update : python-pytest-html (openSUSE-SU-2026:21176-1)	Nessus	SuSE Local Security Checks	2026/7/2	2026/7/20	high
379894	Debian dla-4901 : node-shell-quote - security update	Nessus	Debian Local Security Checks	2026/11/12	2026/11/12	critical
323323	Linux Distros Unpatched Vulnerability : CVE-2026-13311	Nessus	Misc.	2026/6/28	2026/11/13	high

检测

插件搜索

high

high

critical

high

high

critical

high

critical

high

critical

critical

high

critical

high