Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且供應商未提供可用的修補程式。

  - ### 摘要 qs 中的 `arrayLimit` 選項在出現 `comma:
    true` 已啟用攻擊者可藉此透過記憶體耗盡造成拒絕服務。這是陣列限制強制執行的繞過方式類似於 GHSA-6rw7-vpxm-498p 中解決的括弧標記繞過 (CVE-2025-15284)。 ### 詳細資料 當 `comma` 選項設定為 `true` (非預設但可在應用程式中設定) 時qs 允許將逗號分隔字串剖析為陣列 (例如`?param=a,b,c` 會變成`['a', 'b', 'c']`)。不過在 `parseArrayValue` 中的逗號處理邏輯之後會發生 `arrayLimit` (預設 20) 的限制檢查和選用的throwOnLimitExceeded進而啟用繞過。這允許從單一參數建立任意大型陣列進而導致過度記憶體配置。 **易受影響的程式碼** (lib/parse.js ~40-50 行)```js if (val && typeof val === 'string' && options.comma && val.indexOf(',') > -1) { return val.split(','); } if (options.throwOnLimitExceeded && currentArrayLength >= options.arrayLimit) {throw new RangeError('超過陣列限制。陣列中僅允許使用 ' + options.arrayLimit + ‘element’ + (options.arrayLimit === 1 ? ‘’ : ‘s’) + ‘。’)傳回 val ````split(',')` 會立即傳回陣列略過後續的限制檢查。透過 `utils.combine` 的下游合併無法防止配置即使其標記疏鬆陣列的溢位亦是如此。此差異可讓攻擊者傳送具有數百萬個逗號的單一參數 (例如 `?param=,,,,,,,,, ...`)在記憶體中配置大量陣列而不觸發限制。它會繞過 `arrayLimit` 的意圖該意圖已針對索引 (`a[0]=`) 和括號 (`a[]=`) 標記法正確強制執行 (後者已在 v6.14.1 中依據 GHSA-6rw7-vpxm- 498p)。 ### PoC **測試 1 - 基本繞過** ``` npm install qs ``` ```js const qs = require('qs'); const 承載 = 'a=' + ','.repeat(25); // 分割後的 26 個元素 (繞過 arrayLimit
    5) const options = { comma: true, arrayLimit: 5,throwOnLimitExceeded: true }; try { const result = qs.parse(payload, options); console.log(result.a.length); // 輸出26 (繞過成功) } catch (e) {console.log('Limit forced:', e.message); // 未擲回 } ``` **Configuration:** - `comma: true` - `arrayLimit: 5` - `throwOnLimitExceeded: true` 預期行為引發超出陣列限制錯誤。實際
    剖析成功建立長度為 26 的陣列。### 透過記憶體耗盡造成拒絕服務 (DoS)。 (CVE-2026-2391)

請注意，Nessus 的判定取決於廠商所報告的套件是否存在。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - ### 汇总当 `comma:
    true` 遭到启用允许攻击者通过内存耗尽造成拒绝服务。这是数组限制强制执行的绕过类似于 GHSA-6rw7-vpxm-498p 中解决的括号标记绕过 (CVE-2025-15284)。 ### 详细信息当“comma”选项设置为“true”非默认设置而是可在应用程序中配置时qs 允许将逗号分隔的字符串解析为数组例如“?param=a,b,c”变为`['a', 'b', 'c']`。但是“arrayLimit”的限制检查默认为20 和可选的throwOnLimitExceeded 之后是“parseArrayValue”中的逗号处理逻辑之后发生从而实现绕过。允许从单个参数创建任意大小的数组从而导致过量内存分配。 **有漏洞的代码** (lib/parse.js第 ~40-50 行)``js if (val && typeof val === 'string' && options.comma && val.indexOf(',') > -1) { return val.split(','); } if (options.throwOnLimitExceeded && currentArrayLength >= options.arrayLimit) {抛出新的 RangeError('超出数组限制。Only ' + options.arrayLimit + “element” + (options.arrayLimit === 1 ? “”: 's') + “allowed in array.”); } return val `split(',')` 立即返回数组从而跳过后续的限制检查。通过“utils.combine”进行的下游合并不会阻止分配即使其标记了稀疏数组的溢出。此差异允许攻击者发送具有数百万个逗号的单个参数例如“?param=,,,,,,,, ...`)在内存中分配大量数组而不触发限制。它绕过了“arrayLimit”的意图后者会针对索引符号 (`a[0]=`) 和括号符号 (`a[]=`) 正确强制执行根据 GHSA-6rw7-vpxm- 498p。 ### PoC **测试 1 - 基本绕过** `` npm install qs `` ``js const qs = require('qs'); const payload = 'a=' + ','.repeat(25); // 拆分后 26 个元素绕过 arrayLimit
    5) const options = { comma: true, arrayLimit: 5,throwOnLimitExceeded: true }; try { const result = qs.parse(payload, options); console.log(result.a.length); // 输出26（绕过成功） }catch (e) {console.log('Limit forced:', e.message); // 未抛出 } `` **配置** - `comma: true` - `arrayLimit: 5` - `throwOnLimitExceeded: true` 预期：抛出“超出数组限制”错误。实际
    解析成功并创建长度为 26 的数组。### 通过内存耗尽影响拒绝服务 (DoS)。 (CVE-2026-2391)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

リモートの Fedora 42 ホストには、FEDORA-2026-ca43aa006f のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    33.0.1 リリース

Tenable は、前述の記述ブロックを Fedora セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - ### サマリー qs の「arrayLimit」オプションは、「comma:
    true が有効化されているため、攻撃者がメモリを枯渇させることで、サービス拒否を引き起こすことができます。これは、GHSA-6rw7-vpxm-498p で対処された括弧表記のバイパスに類似した、配列制限強制のバイパスですCVE-2025-15284。 ### 詳細「comma」オプションが「true」に設定されている場合デフォルトではありませんが、アプリケーションで構成可能、qs により、コンマ区切りの文字列を配列として解析できます例「?param=a,b,c」は、 「['a', 'b', 'c']`)。ただし、「arrayLimit」デフォルト20の制限チェックとオプションの slowOnLimitExceeded は「parseArrayValue」のコンマ処理ロジックの後に発生し、バイパスが可能になります。これにより、単一のパラメーターから任意の大きな配列を作成でき、過剰なメモリ割り当てが発生します。 **脆弱なコード**lib/parse.js~40-50行「`js if (val && typeof val === 'string' && options.comma && val.indexOf(',') > -1) { return val.split(','); } ifoptions.throwOnLimitExceeded && currentArrayLength >= options.arrayLimit{ 新規 RangeError('Array 制限を超えました。「+ options.arrayLimit + 「element」+ (options.arrayLimit === 1 ? ) のみ:「s」+「配列で許可されています」; } return val; ` : 「split(',')」はすぐに配列を返し、その後のリミットチェックをスキップします。「utils.combine」を介したダウンストリームマージは、散在配列にオーバーフローをマークする場合でも、割り当てを回避しません。この不一致により、攻撃者は数百のコンマ付き単一パラメーターを送信する可能性があります例「?param=, 、、、、、、、 ...`) を引き起こし、制限をトリガーすることなくメモリで巨大な配列を割り当てます。これは、インデックス付き「a[0]=`」および括弧「a[]=`」表記に対して正しく強制される「arrayLimit」の意図をバイパスします後者は GHSA-6rw7-vpxm- ごとに v6.14.1 で修正されました498p。 ### PoC **Test 1 - 基本的バイパス** ` npm install qs ` `js const qs = require('qs'); const Payload = 'a=' + ','.repeat(25); // 分割後の 26 要素arrayLimit をバイパス
    5) const オプション = { コンマ: true, arrayLimit: 5, slowOnLimitExceeded: true }; try { const result = qs.parse(payload, options); console.log(result.a.length); // 出力26 (バイパス成功) }atch (e) {console.log('Limit enforced:', e.message); // スローされない } ` **Configuration** - `comma: true` - `arrayLimit: 5` - `throwOnLimitExceeded: true` 期待されるものをスローします配列制限を超えたエラー。実際
    正常に解析され、長さ26の配列が作成されます。 ### メモリ枯渇によるサービス拒否DoSへの影響。CVE-2026-2391

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

The Linux/Unix host has one or more packages installed that are impacted by a vulnerability without a vendor supplied patch available.

  - ### Summary The `arrayLimit` option in qs does not enforce limits for comma-separated values when `comma:
    true` is enabled, allowing attackers to cause denial-of-service via memory exhaustion. This is a bypass of     the array limit enforcement, similar to the bracket notation bypass addressed in GHSA-6rw7-vpxm-498p     (CVE-2025-15284). ### Details When the `comma` option is set to `true` (not the default, but configurable     in applications), qs allows parsing comma-separated strings as arrays (e.g., `?param=a,b,c` becomes `['a',     'b', 'c']`). However, the limit check for `arrayLimit` (default: 20) and the optional throwOnLimitExceeded     occur after the comma-handling logic in `parseArrayValue`, enabling a bypass. This permits creation of     arbitrarily large arrays from a single parameter, leading to excessive memory allocation. **Vulnerable     code** (lib/parse.js: lines ~40-50): ```js if (val && typeof val === 'string' && options.comma &&     val.indexOf(',') > -1) { return val.split(','); } if (options.throwOnLimitExceeded && currentArrayLength     >= options.arrayLimit) { throw new RangeError('Array limit exceeded. Only ' + options.arrayLimit + '     element' + (options.arrayLimit === 1 ? '' : 's') + ' allowed in an array.'); } return val; ``` The     `split(',')` returns the array immediately, skipping the subsequent limit check. Downstream merging via     `utils.combine` does not prevent allocation, even if it marks overflows for sparse arrays.This discrepancy     allows attackers to send a single parameter with millions of commas (e.g., `?param=,,,,,,,,...`),     allocating massive arrays in memory without triggering limits. It bypasses the intent of `arrayLimit`,     which is enforced correctly for indexed (`a[0]=`) and bracket (`a[]=`) notations (the latter fixed in     v6.14.1 per GHSA-6rw7-vpxm-498p). ### PoC **Test 1 - Basic bypass:** ``` npm install qs ``` ```js const qs     = require('qs'); const payload = 'a=' + ','.repeat(25); // 26 elements after split (bypasses arrayLimit:
    5) const options = { comma: true, arrayLimit: 5, throwOnLimitExceeded: true }; try { const result =     qs.parse(payload, options); console.log(result.a.length); // Outputs: 26 (bypass successful) } catch (e) {     console.log('Limit enforced:', e.message); // Not thrown } ``` **Configuration:** - `comma: true` -     `arrayLimit: 5` - `throwOnLimitExceeded: true` Expected: Throws Array limit exceeded error. Actual:
    Parses successfully, creating an array of length 26. ### Impact Denial of Service (DoS) via memory     exhaustion. (CVE-2026-2391)

Note that Nessus relies on the presence of the package as reported by the vendor.

The remote Fedora 42 host has a package installed that is affected by multiple vulnerabilities as referenced in the FEDORA-2026-ca43aa006f advisory.

    33.0.1 release

Tenable has extracted the preceding description block directly from the Fedora security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
298899	Linux Distros 未修補的弱點：CVE-2026-2391	Nessus	Misc.	2026/2/13	2026/4/29	medium
298899	Linux Distros 未修补的漏洞：CVE-2026-2391	Nessus	Misc.	2026/2/13	2026/4/29	medium
305115	Fedora 42nextcloud2026-ca43aa006f	Nessus	Fedora Local Security Checks	2026/4/7	2026/4/7	high
298899	Linux Distros のパッチ未適用の脆弱性: CVE-2026-2391	Nessus	Misc.	2026/2/13	2026/4/29	medium
298899	Linux Distros Unpatched Vulnerability : CVE-2026-2391	Nessus	Misc.	2026/2/13	2026/4/29	medium
305115	Fedora 42 : nextcloud (2026-ca43aa006f)	Nessus	Fedora Local Security Checks	2026/4/7	2026/4/7	high

检测

插件搜索

medium

medium

high

medium

medium

high