因此，该软件受到 ALAS2023-2026-2060 公告中提及的多个漏洞影响。

    括号扩展容易遭受 5.0.6 拒绝服务攻击。expand（） 函数在连续非展开“{}”大括号组的数量中表现出指数时间复杂度。攻击者直接或可传递传递构建的字符串到 expand（），可造成大量 CPU 消耗和事件循环阻断。max 选项无法缓解此问题，因为它会限制输出大小而不是递归功。（CVE-2026-13149）

    undici 未验证 duck 类型类 blob 请求正文的类型属性，便将其用作 HTTP/1.1 调度程序上的 Content-Type 标头。在之前 6.28.0的 、 上 7.0.0 到 之前 7.29.0和 从 8.0.0 上到 之前 8.9.0的 undici 中，传递类型派生自不受信任输入的手动滚动的类似 blob 的正文（通过请求、流、管道或调度）的应用程序允许攻击者注入 CRLF 序列并附加任意 HTTP 标头，从而可能通过上游走私第二个请求。本机 Blob 对象是安全的，因为它们的构造函数从类型中剥离了 CRLF，并且 fetch 由于验证标头而不受影响，但根据用户输入构建 duck 类型 blob 形状的生态系统库可以到达容易受到攻击的路径。这是与标头接收器上的 和 CVE-2026-1527相同的缺陷类CVE-2022-35948，之前的补丁未涵盖该缺陷。undici 6.28.0、 7.29.0和 8.9.0中已修复此问题。（CVE-2026-15157）

    undici 的重试拦截器可提供响应，其正文长度与在重试或恢复部分响应后暴露给应用程序的 Content-Length 标头不匹配。在 之前 、 从 7.0.0 up 到 before 7.29.0和 从 8.0.0 up 到 before 8.9.0的 undici 6.28.0中，恶意或错误的上游可返回带有不匹配的帧标头的部分响应，提前关闭套接字，并使重试拦截器在原始 Content-Length 保持附加状态时组装不同长度的正文。
    使用重试拦截器并将上游标头和正文转发到下游的应用程序（例如代理或网关）然后可能会发出带有过时 Content-Length 的无效 HTTP 响应，从而导致下游响应不同步、连接挂起或响应损坏。要利用此漏洞，需要启用重试拦截器、上游返回不匹配的部分响应，以及下游转发器不删除或重新计算 Content-Length。undici 6.28.0、 7.29.0和 8.9.0中已修复此问题。（CVE-2026-16728）

    undici 的 setCookie 函数未完全审查 Cookie 属性。在之前的 、 从 7.0.0 up 到 before 7.29.0和 从 8.0.0 up 到 before 8.9.0的 undici 6.28.0中，未检查域值是否有分号，并且未审查未解析数组中的条目，因此受攻击者影响的输入可注入其他 Cookie 属性。例如，包含分号的域值可以附加 SameSite 等属性，未解析的条目可以注入 HttpOnly 等属性，而无需调用方对其进行设置。将用户控制的输入传递到这些字段的应用程序（例如将会话 Cookie 范围限定为租户提供的域的多租户或反向代理服务器）可能会绕过 SameSite CSRF 保护，或者强制、剥离或重写 Secure、HttpOnly 和 SameSite 属性。undici 6.28.0、 7.29.0和 8.9.0中已修复此问题。（CVE-2026-16729）

    在签入 e807d4e3798efd53 之前，SQLite 和 SQLite 主干版本的 SQLite 3.53.1 会话扩展中存在空指针取消引用，允许能够提供畸形变更集 blob 的攻击者造成拒绝服务。当 sqlite3changeset_apply_v3（） 应用损坏的变更集并使用空sqlite3_value指针到达 sqlite3_value_type（） 时，会发生此问题。（CVE-2026-50812）

    HTTP/2 保留的标头可绕过 maxSessionMemory 限制 （CVE-2026-56846）

    Node.js权限模型执行中的缺陷允许“trace_events.createTracing（）.enable（）”在“--allow-fs-write外部写入跟踪日志。这可导致机密性影响或在受影响的配置中绕过预期安全边界。此漏洞影响 Node.js **22.x**、**24.x** 和
    **26.x**。（CVE-2026-56847）

    Node.js HTTP/2 处理中的缺陷允许在执行 nghttp2_session_mem_recv（） 时重新进入调用 nghttp2_session_mem_send（），从而导致堆释放后使用。（CVE-2026-56848）

    HTTPS 代理连接重用Node.js缺陷可造成 PFX 对象数组密钥冲突，进而允许在配置有不同客户端证书的请求间重用相互 TLS （mTLS） 客户端身份。此漏洞影响 Node.js **26.x**、**24.x** 和 **22.x**。（CVE-2026-56850）

    Node.js Permission Model 强制执行中的缺陷允许 process.report 在外部写入（和覆盖）文件
    --allow-fs-write 路径。

    这可导致机密性影响或在受影响的配置中绕过预期安全边界。（CVE-2026-58039）

    在 Node.js 中发现一个不完整的修复：HTTPS 代理 TLS 会话重用跳过跨身份策略的主机名验证（不 CVE-2026-48934完整的修复）。此漏洞影响 Node.js **22.x**、**24.x** 和 **26.x**。（CVE-2026-58040）

    当 DNS 响应包含超过 256 条 A 记录时，Node.js 中的缺陷可造成 dns.resolveAny（） 中止进程。

    重复触发此条件可导致拒绝服务。（CVE-2026-58042）

    Node.js Permission Model 强制执行中的缺陷可跨 radix 树前缀边界过度授权文件系统访问权限。在 '--permission' 下，获得访问某一路径权限的攻击者可滥用边界处理来读取或写入预期文件系统允许列表外部的路径。此漏洞影响 Node.js **main**、**22.x**、**24.x** 和 **26.x**。（CVE-2026-58043）

    注意：https://nodejs.org/en/blog/vulnerability/july-2026-security-releases#http-parser-header-truncation-can-enable-request-smuggling-cve-2026-58044---low (CVE-2026-58044)

    注意：https://nodejs.org/en/blog/vulnerability/july-2026-security-releases#nodezlib-sync-apis-can-crash-on-spoofed-typedarray-length-cve-2026-58045---medium (CVE-2026-58045)

    node-tar 是一款适用于 Node.js 的 tar 存档操作库。在版本之前 7.5.19，node-tar 不对提取和解析路径（例如 src/extract.ts）中的总解压缩数据、条目计数或解压缩比率强制实施硬性上限，从而允许构建的小型 gzip 炸弹耗尽磁盘空间和 CPU。
    此问题已在 7.5.19 版本中修复。(CVE-2026-59873)

    node-tar 是一款适用于 Node.js 的 tar 存档操作库。在版本 7.5.18之前，tar.replace 接受包含负 base-256 编码条目大小的校验和有效 tar 标头，从而导致存档扫描程序在重复解析同一标头时没有进度。此问题已在 7.5.18 版本中修复。
    (CVE-2026-59874)

    通过未绑定的 DNS 名称压缩指针链 （CVE-2026-69184） 导致的 CPU 耗尽拒绝服务

    pacote 11.2.7 程序包的版本容易遭受通过 addGitSha 函数发动的拒绝服务 （DoS） 攻击。攻击者可通过提供特别构建的 spec.rawSpec 值来触发函数的 regex 替换和字符串操纵逻辑，从而利用此漏洞造成过度消耗 CPU 并可能导致进程停止或崩溃。（CVE-2026-9496）

Tenable 已直接从测试产品的安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - 在签入 e807d4e3798efd53 之前，SQLite 和 SQLite 主干版本的 SQLite 3.53.1 会话扩展中存在空指针取消引用，允许能够提供畸形变更集 blob 的攻击者造成拒绝服务。当 sqlite3changeset_apply_v3（） 应用损坏的变更集并使用空sqlite3_value指针到达 sqlite3_value_type（） 时，会发生此问题。（CVE-2026-50812）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

因此，它會受到 ALAS2023-2026-2060 公告中所提及的多個弱點影響。

    大括號展開 5.0.6 容易受到拒絕服務的影響。expand（） 函式在連續非展開的「{}」大括號群組數目中表現出指數時間複雜度。攻擊者直接或轉移地將特製字串傳遞至 expand（），可造成大量 CPU 消耗和事件迴圈封鎖。max 選項不會緩解此問題，因為它會限制輸出大小，而不是遞迴工作。（CVE-2026-13149）

    undici 不會先驗證鴨子型別類似 blob 的要求內文的 type 屬性，再將其用作 HTTP/1.1 分派器上的 Content-Type 標頭。在 undici before 6.28.0、 from 7.0.0 up to before 7.29.0和 from 8.0.0 up to before 8.9.0中，傳遞手動滾動的類似 blob 的主體（透過請求、流、管道或分派）的應用程式，其類型源自不受信任的輸入，允許攻擊者插入 CRLF 序列並附加任意 HTTP 標頭，從而可能將第二個請求偷運到上游。原生 Blob 物件是安全的，因為其建構函式會從類型中移除 CRLF，而且擷取不會受到影響，因為它會驗證標頭，但從使用者輸入建置鴨子類型 Blob 圖形的生態系統程式庫可以到達易受攻擊的路徑。這是與標頭接收器上的 和 CVE-2026-1527相同的缺陷類別CVE-2022-35948，但先前的修正未涵蓋。此問題已在 undici 6.28.0、 7.29.0和 8.9.0中修正。（CVE-2026-15157）

    Undici 的重試攔截器可以傳遞回應，其內文長度與在重試或恢復部分回應後公開給應用程式的 Content-Length 標頭不相符。在 undici before 6.28.0、 from 7.0.0 up to before 7.29.0和 from 8.0.0 up to before 8.9.0中，惡意或錯誤的上游可以傳回具有不相符的框架標頭的部分回應，提前關閉通訊端，並讓重試攔截器組裝不同長度的主體，同時原始 Content-Length 保持附加狀態。
    然後，使用重試攔截器並將上游標頭和內文轉送至下游的應用程式 （例如 Proxy 或閘道） 可能會發出具有過時 Content-Length 的無效 HTTP 回應，進而導致下游回應不同步、連線停擺或回應損毀。利用需要啟用重試攔截器、上傳回不相符的部分回應，以及不移除或重新計算 Content-Length 的下游轉送器。此問題已在 undici 6.28.0、 7.29.0和 8.9.0中修正。（CVE-2026-16728）

    undici 的 setCookie 函式並未完全清理 cookie 屬性。在 undici before 6.28.0、 from 7.0.0 up to before 7.29.0和 from 8.0.0 up to before 8.9.0中，不會檢查網域值是否有分號，且未剖析陣列中的項目不會被清理，因此受攻擊者影響的輸入可以插入額外的 cookie 屬性。例如，包含分號的網域值可以附加屬性，例如 SameSite，而未剖析的專案可以插入屬性，例如 HttpOnly，而不需要呼叫端設定它們。將使用者控制的輸入傳遞至這些欄位的應用程式，例如將工作階段 Cookie 範圍限定為租用戶提供的網域的多租用戶或反向 Proxy 伺服器，可以繞過 SameSite CSRF 保護，或強制、剝離或覆寫 Secure、HttpOnly 和 SameSite 屬性。此問題已在 undici 6.28.0、 7.29.0和 8.9.0中修正。（CVE-2026-16729）

    在簽入 e807d4e3798efd53 之前，SQLite 3.53.1 和 SQLite 主幹組建中的 SQLite 工作階段延伸模組中的 NULL 指標解除參照可讓攻擊者提供格式錯誤的變更集 blob 造成拒絕服務。當 sqlite3changeset_apply_v3（） 套用損毀的變更集，並以 NULL sqlite3_value指標到達 sqlite3_value_type（） 時，就會發生此問題。（CVE-2026-50812）

    HTTP/2 保留標頭可以繞過 maxSessionMemory 限制 （CVE-2026-56846）

    Node.js權限模型強制執行中的一個缺陷允許「trace_events.createTracing（）.enable（）」在 '--allow-fs-write' 之外寫入追蹤記錄。這可能會導致機密性影響，或在受影響的組態下繞過預期的安全邊界。此弱點會影響Node.js **22.x**、**24.x** 和
    **26.x**。（CVE-2026-56847）

    Node.js HTTP/2 處理中的一個缺陷允許在 nghttp2_session_mem_recv（） 執行時以重新進入方式呼叫 nghttp2_session_mem_send（），從而導致堆積釋放後使用。（CVE-2026-56848）

    Node.js HTTPS 代理程式連線重複使用中的缺陷可能會導致 PFX 物件陣列金鑰衝突，進而允許在使用不同用戶端憑證設定的請求之間重複使用相互TLS （mTLS） 用戶端身分。此弱點會影響 Node.js **26.x**、**24.x** 和 **22.x**。（CVE-2026-56850）

    Node.js權限模型強制執行中的缺陷允許 process.report 寫入 （和覆寫） 外部檔案
    --allow-fs-write 路徑。

    這可能會導致機密性影響，或在受影響的組態下繞過預期的安全邊界。（CVE-2026-58039）

    在Node.js中發現不完整的修正：HTTPS代理程式TLS工作階段重複使用會跳過跨身分原則的主機名稱驗證 （不 CVE-2026-48934完整的修正）。此弱點會影響 Node.js **22.x**、**24.x** 和 **26.x**。（CVE-2026-58040）

    當 DNS 回應包含超過 256 筆 A 記錄時，Node.js中的缺陷可能會導致 dns.resolveAny（） 中止處理程序。

    反覆觸發這種情況可能會導致拒絕服務。（CVE-2026-58042）

    Node.js許可模型強制執行中的缺陷可能會過度授予跨基數樹狀結構前綴邊界的檔案系統存取權。在「」--permission下，被授予單一路徑存取權的攻擊者可濫用邊界處理，在預期檔案系統允許清單之外的路徑中讀取或寫入路徑。此弱點影響 **main**、**22.x**、**24.x** 和 **26.x** Node.js。（CVE-2026-58043）

    注意: https://nodejs.org/en/blog/vulnerability/july-2026-security-releases#http-parser-header-truncation-can-enable-request-smuggling-cve-2026-58044---low (CVE-2026-58044)

    注意: https://nodejs.org/en/blog/vulnerability/july-2026-security-releases#nodezlib-sync-apis-can-crash-on-spoofed-typedarray-length-cve-2026-58045---medium (CVE-2026-58045)

    node-tar 是一個用於 Node.js 的 tar 存檔操作庫。在之前 7.5.19，node-tar 不會在擷取和剖析路徑 （例如 src/extract.ts） 中對解壓縮資料總數、條目計數或解壓縮比率強制執行硬性上限，因此允許小型特製的 gzip 炸彈耗盡磁碟空間和 CPU。
    7.5.19 版已修正此問題。(CVE-2026-59873)

    node-tar 是一個用於 Node.js 的 tar 存檔操作庫。在之前 7.5.18，tar.replace 接受具有負 base-256 編碼項目大小的總和檢查碼有效 tar 標頭，導致封存掃描器在重複剖析相同標頭時沒有任何進展。7.5.18 版已修正此問題。
    (CVE-2026-59874)

    透過不受限制的 DNS 名稱壓縮指標鏈 （CVE-2026-69184） 造成 CPU 耗盡拒絕服務

    套件 pacote 的 11.2.7 版本容易透過 addGitSha 函式遭受拒絕服務 （DoS）。攻擊者可以透過提供特製的 spec.rawSpec 值來觸發函數的正則運算式替換和字串操作邏輯來利用此弱點，從而導致過多的 CPU 消耗，並可能使進程停止或崩潰。（CVE-2026-9496）

Tenable 已直接從所測試產品的安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且廠商未提供可用的修補程式。

  - 在簽入 e807d4e3798efd53 之前，SQLite 3.53.1 和 SQLite 主幹組建中的 SQLite 會話延伸模組中的 NULL 指標解除參照可讓能夠提供格式錯誤的變更集 Blob 的攻擊者造成拒絕服務。當 sqlite3changeset_apply_v3（） 套用損毀的變更集，並以 NULL sqlite3_value指標到達 sqlite3_value_type（） 時，就會發生此問題。（CVE-2026-50812）

請注意，Nessus 的判定取決於廠商所報告的套件是否存在。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - チェックイン e807d4e3798efd53 前の SQLite 3.53.1 および SQLite トランクビルドの SQLite セッション拡張における NULL ポインターデリファレンスにより、無効な形式の変更セット blob を供給できる攻撃者が、サービス拒否を引き起こす可能性があります。この問題は、sqlite3changeset_apply_v3()が破損した変更セットを適用し、NULL sqlite3_valueポインターでsqlite3_value_type()に到達したときに発生します。(CVE-2026-50812)

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

したがって、ALAS2023-2026-2060 のアドバイザリに記載されている複数の脆弱性の影響を受けます。

    5.0.6 によるブレース拡張は、サービス拒否に脆弱です。expand() 関数は、連続する非拡張 '{}' ブレース・グループの数において指数関数的な時間複雑さを示します。攻撃者が細工された文字列を直接的または推移的に expand() に渡すことで、大幅な CPU 消費およびイベントループブロッキングが引き起こされる可能性があります。maxオプションは、再帰作業ではなく出力サイズを制限するため、これを緩和しません。(CVE-2026-13149)

    undici は、HTTP/1.1 ディスパッチャー上で Content-Type ヘッダーとして使用する前に、duck 型の blob のようなリクエスト本文の type プロパティを検証しません。6.28.0より前、7.0.0から7.29.0より前、8.0.0から8.9.0より前のundciでは、信頼できない入力から型が派生した(リクエスト、ストリーム、パイプライン、またはディスパッチを介して)手動で巻かれたブロブのようなボディを渡すアプリケーションにより、攻撃者がCRLFシーケンスを挿入し、任意のHTTPヘッダーを追加して、2番目のリクエストを上流を経由してスマグリングする可能性があります。ネイティブ Blob オブジェクトは、コンストラクターが型から CRLF を striping するため安全であり、ヘッダーを検証するため fetch は影響を受けませんが、ユーザー入力から duck 型の blob 形状を構築するエコシステムライブラリは脆弱なパスに到達する可能性があります。これは、ヘッダーシンクの CVE-2022-35948 や CVE-2026-1527 と同じ欠陥クラスですが、以前の修正はカバーしていませんでした。この問題は、undici 6.28.0、 7.29.0、および 8.9.0 で修正されます。(CVE-2026-15157)

    undici の再試行インターセプターが、部分的な応答の再試行または再開後にアプリケーションに露出した Content-Length ヘッダーと本文の長さが一致しない応答を配信する可能性があります。6.28.0 より前、7.0.0 から 7.29.0 より前、および 8.0.0 から 8.9.0 より前の undici では、悪意のあるまたは障害のある Upstream が、一致しないフレーミングヘッダーを含む部分的な応答を返し、ソケットを早期に閉じ、元の Content-Length が接続されたままで、再試行インターセプターに異なる長さのボディを組み立てさせる可能性があります。
    その後、再試行インターセプタを使用し、プロキシやゲートウェイなどのアップストリームのヘッダーと本体をダウンストリームに転送するアプリケーションは、古いコンテンツ長を持つ無効な HTTP 応答を発行する可能性があります。これにより、ダウンストリーム応答の同期解除、接続のハングアップ、または応答破損が発生します。悪用するには、再試行インターセプタの有効化、一致しない部分応答を返す上流、および Content-Length を削除または再計算しない下流フォワーダーが必要です。この問題は、undici 6.28.0、 7.29.0、および 8.9.0 で修正されます。(CVE-2026-16728)

    undici の setCookie 関数は、クッキー属性を完全にはサニタイズしません。6.28.0 より前、7.0.0 から 7.29.0 より前、8.0.0 から 8.9.0 より前の undici では、ドメイン値のセミコロンがチェックされず、解析されていない配列のエントリがサニタイズされません。そのため、攻撃者の影響を受ける入力が、追加のクッキー属性を注入する可能性があります。たとえば、セミコロンを含むドメイン値には SameSite などの属性を追加でき、解析されていないエントリには、呼び出し元が設定しなくても HttpOnly などの属性を挿入できます。セッション Cookie をテナント指定のドメインにスコープするマルチテナントまたはリバースプロキシサーバーなど、ユーザー制御の入力をこれらのフィールドに渡すアプリケーションでは、SameSite CSRF 保護がバイパスされたり、Secure、HttpOnly、SameSite 属性が強制、削除、またはオーバーライドされたりする可能性があります。この問題は、undici 6.28.0、 7.29.0、および 8.9.0 で修正されます。(CVE-2026-16729)

    チェックインe807d4e3798efd53前のSQLite 3.53.1 およびSQLiteトランクビルドのSQLiteセッション拡張機能におけるNULLポインターデリファレンスにより、不正な形式の変更セットBLOBを供給できる攻撃者がサービス拒否を引き起こす可能性があります。この問題は、sqlite3changeset_apply_v3()が破損した変更セットを適用し、NULL sqlite3_valueポインターでsqlite3_value_type()に到達したときに発生します。(CVE-2026-50812)

    HTTP/2 の保持ヘッダーは maxSessionMemory 制限をバイパスできます(CVE-2026-56846)

    Node.js許可モデル実施における欠陥により、「trace_events.createTracing().enable()」が「--allow-fs-write」外側にトレースログを書き込む可能性があります。これにより、機密性の影響を受けたり、影響を受ける構成で意図されたセキュリティ境界がバイパスされたりする可能性があります。この脆弱性は、**22.x**、**24.x** Node.jsに影響します。
    **26.x**。(CVE-2026-56847)

    Node.js HTTP/2処理の欠陥により、nghttp2_session_mem_recv()の実行中にnghttp2_session_mem_send()が再入的に呼び出され、ヒープのメモリ解放後使用(Use After Free)が発生する可能性があります。(CVE-2026-56848)

    HTTPS Agent 接続再利用Node.js欠陥により、PFX オブジェクト配列キーの衝突が引き起こされ、異なるクライアント証明書で構成されたリクエスト間で相互 TLS(mTLS)クライアント ID が再利用される可能性があります。この脆弱性は、Node.js **26.x**、**24.x**、**22.x** に影響を与えます。(CVE-2026-56850)

    Node.js許可モデルの適用における欠陥により、process.report はファイルを外部に書き込み(および上書き)できます
    --allow-fs-write パス。

    これにより、機密性の影響を受けたり、影響を受ける構成で意図されたセキュリティ境界がバイパスされたりする可能性があります。(CVE-2026-58039)

    Node.js で不完全な修正が特定されました:HTTPS エージェントTLSセッションの再利用により、ID ポリシー全体でホスト名の検証がスキップされます( CVE-2026-48934の不完全な修正)。この脆弱性は、Node.js **22.x**、**24.x**、**26.x** に影響を与えます。(CVE-2026-58040)

    Node.jsの欠陥により、DNS応答に256件を超えるAレコードが含まれているとき、dns.resolveAny()がプロセスを中止する可能性があります。

    この状態を繰り返しトリガーすると、サービス拒否を引き起こす可能性があります。(CVE-2026-58042)

    Node.js権限モデルの強制における欠陥により、基数木プレフィックスの境界を越えてファイルシステムアクセスが過剰に付与される可能性があります。「--permission」では、1つのパスへのアクセスが許可された攻撃者が、境界処理を悪用して、意図されたファイルシステム許可リスト外のパスからの読み取りまたは書き込みを行う可能性があります。この脆弱性は、Node.js **main**、**22.x**、**24.x**、**26.x** に影響を与えます。(CVE-2026-58043)

    注意: https://nodejs.org/en/blog/vulnerability/july-2026-security-releases#http-parser-header-truncation-can-enable-request-smuggling-cve-2026-58044---low (CVE-2026-58044)

    注意: https://nodejs.org/en/blog/vulnerability/july-2026-security-releases#nodezlib-sync-apis-can-crash-on-spoofed-typedarray-length-cve-2026-58045---medium (CVE-2026-58045)

    node-tar は、Node.js 用の tar アーカイブ操作ライブラリです。7.5.19より前のバージョンでは、node-tar は展開後のデータの合計数、エントリ数、または抽出パスや src/extract.ts などの展開比にハードな上限を強制しません。このため、細工された小さな gzip 爆弾がディスク容量と CPU を使い果たす可能性があります。
    この問題はバージョン 7.5.19 で修正されています。(CVE-2026-59873)

    node-tar は、Node.js 用の tar アーカイブ操作ライブラリです。7.5.18より前に、tar.replace は、base-256 でエンコードされた負のエントリサイズのチェックサムが有効な tar ヘッダーを受け入れます。これにより、アーカイブスキャナーが同じヘッダーを繰り返し解析している間に何も進みません。この問題はバージョン 7.5.18 で修正されています。
    (CVE-2026-59874)

    無制限のDNS名圧縮ポインターチェーンを介したCPU枯渇サービス拒否(CVE-2026-69184)

    11.2.7 からのパッケージ pacote のバージョンは、addGitSha 関数を介したサービス拒否(DoS)に対して脆弱です。攻撃者は、関数の正規表現置換および文字列操作ロジックを発生させる特別に細工された spec.rawSpec 値を供給することでこの脆弱性を悪用し、過剰な CPU 消費を引き起こし、プロセスを停止またはクラッシュさせる可能性があります。(CVE-2026-9496)

Tenable は、前述の記述ブロックをテスト済み製品のセキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

It is, therefore, affected by multiple vulnerabilities as referenced in the ALAS2023-2026-2060 advisory.

    brace-expansion through 5.0.6 is vulnerable to denial of service. The expand() function exhibits     exponential-time complexity in the number of consecutive non-expanding '{}' brace groups. An attacker who     passes a crafted string to expand(), directly or transitively, can cause significant CPU consumption and     event-loop blocking. The max option does not mitigate this, as it bounds the output size rather than the     recursion work. (CVE-2026-13149)

    undici does not validate the type property of a duck-typed blob-like request body before using it as the     Content-Type header on the HTTP/1.1 dispatcher. In undici before 6.28.0, from 7.0.0 up to before 7.29.0,     and from 8.0.0 up to before 8.9.0, an application that passes a hand-rolled blob-like body (via request,     stream, pipeline, or dispatch) whose type is derived from untrusted input allows an attacker to inject     CRLF sequences and append arbitrary HTTP headers, potentially smuggling a second request past the     upstream. Native Blob objects are safe because their constructor strips CRLF from the type, and fetch is     unaffected because it validates headers, but ecosystem libraries that build duck-typed blob shapes from     user input can reach the vulnerable path. This is the same defect class as CVE-2022-35948 and     CVE-2026-1527, on a header sink that the earlier fixes did not cover. The issue is fixed in undici 6.28.0,     7.29.0, and 8.9.0. (CVE-2026-15157)

    undici's retry interceptor can deliver a response whose body length does not match the Content-Length     header exposed to the application after a retry or resume of a partial response. In undici before 6.28.0,     from 7.0.0 up to before 7.29.0, and from 8.0.0 up to before 8.9.0, a malicious or faulty upstream can     return a partial response with a mismatched framing header, close the socket early, and have the retry     interceptor assemble a body of a different length while the original Content-Length stays attached.
    Applications that use the retry interceptor and forward upstream headers and bodies downstream, such as     proxies or gateways, may then emit an invalid HTTP response with a stale Content-Length, leading to     downstream response desynchronization, connection hangs, or response corruption. Exploitation requires the     retry interceptor enabled, an upstream returning a mismatched partial response, and a downstream forwarder     that does not remove or recalculate Content-Length. The issue is fixed in undici 6.28.0, 7.29.0, and     8.9.0. (CVE-2026-16728)

    undici's setCookie function does not fully sanitize cookie attributes. In undici before 6.28.0, from 7.0.0     up to before 7.29.0, and from 8.0.0 up to before 8.9.0, a domain value is not checked for semicolons and     entries in the unparsed array are not sanitized, so attacker-influenced input can inject additional cookie     attributes. For example, a domain value containing a semicolon can append attributes such as SameSite, and     an unparsed entry can inject attributes such as HttpOnly, without the caller setting them. Applications     that pass user-controlled input to these fields, such as multi-tenant or reverse-proxy servers that scope     session cookies to a tenant-supplied domain, can have SameSite CSRF protections bypassed, or the Secure,     HttpOnly, and SameSite attributes forced, stripped, or overridden. The issue is fixed in undici 6.28.0,     7.29.0, and 8.9.0. (CVE-2026-16729)

    A NULL pointer dereference in the SQLite Session Extension in SQLite 3.53.1 and SQLite trunk builds before     check-in e807d4e3798efd53 allows an attacker who can supply a malformed changeset blob to cause a denial     of service. The issue occurs when sqlite3changeset_apply_v3() applies a corrupt changeset and reaches     sqlite3_value_type() with a NULL sqlite3_value pointer. (CVE-2026-50812)

    HTTP/2 retained headers can bypass maxSessionMemory limits (CVE-2026-56846)

    A flaw in Node.js Permission Model enforcement allows `trace_events.createTracing().enable()` Writes Trace     Logs Outside `--allow-fs-write`.This can lead to confidentiality impact or bypass of the intended security     boundary under affected configurations.This vulnerability affects Node.js **22.x**, **24.x**, and
    **26.x**. (CVE-2026-56847)

    A flaw in Node.js HTTP/2 handling allows nghttp2_session_mem_send() to be called re-entrantly while     nghttp2_session_mem_recv() is executing, resulting in a heap-use-after-free. (CVE-2026-56848)

    A flaw in Node.js HTTPS Agent connection reuse can cause PFX object-array key collisions, allowing mutual     TLS (mTLS) client identities to be reused across requests configured with different client     certificates.This vulnerability affects Node.js **26.x**, **24.x**, and **22.x**. (CVE-2026-56850)

    A flaw in Node.js Permission Model enforcement allows process.report writes (and overwrites) files outside
    --allow-fs-write paths.

    This can lead to confidentiality impact or bypass of the intended security boundary under affected     configurations. (CVE-2026-58039)

    An incomplete fix has been identified in Node.js: HTTPS Agent TLS session reuse skips hostname     verification across identity policies (incomplete fix of CVE-2026-48934).This vulnerability affects     Node.js **22.x**, **24.x**, and **26.x**. (CVE-2026-58040)

    A flaw in Node.js can cause dns.resolveAny() to abort the process when a DNS response contains more than     256 A records.

    Repeated triggering of this condition can lead to denial of service. (CVE-2026-58042)

    A flaw in Node.js Permission Model enforcement can over-grant filesystem access across radix-tree prefix     boundaries.Under `--permission`, an attacker who is granted access to one path can abuse boundary handling     to read from or write to paths outside the intended filesystem allowlist.This vulnerability affects     Node.js **main**, **22.x**, **24.x**, and **26.x**. (CVE-2026-58043)

    NOTE: https://nodejs.org/en/blog/vulnerability/july-2026-security-releases#http-parser-header-truncation-     can-enable-request-smuggling-cve-2026-58044---low (CVE-2026-58044)

    NOTE: https://nodejs.org/en/blog/vulnerability/july-2026-security-releases#nodezlib-sync-apis-can-crash-     on-spoofed-typedarray-length-cve-2026-58045---medium (CVE-2026-58045)

    node-tar is a tar archive manipulation library for Node.js. Prior to 7.5.19, node-tar does not enforce     hard upper bounds on total decompressed data, entry counts, or decompression ratio in extraction and     parsing paths such as src/extract.ts, allowing a small crafted gzip bomb to exhaust disk space and CPU.
    This issue is fixed in version 7.5.19. (CVE-2026-59873)

    node-tar is a tar archive manipulation library for Node.js. Prior to 7.5.18, tar.replace accepts a     checksum-valid tar header with a negative base-256 encoded entry size, causing the archive scanner to make     no progress while repeatedly parsing the same header. This issue is fixed in version 7.5.18.
    (CVE-2026-59874)

    CPU-exhaustion denial of service via unbounded DNS name compression pointer chains (CVE-2026-69184)

    Versions of the package pacote from 11.2.7 are vulnerable to Denial of Service (DoS) via the addGitSha     function. An attacker can exploit this vulnerability by supplying a specially crafted spec.rawSpec value     that triggers the function's regex replacement and string-manipulation logic,  causing excessive CPU     consumption and potentially stalling or crashing the process. (CVE-2026-9496)

Tenable has extracted the preceding description block directly from the tested product security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

The Linux/Unix host has one or more packages installed that are impacted by a vulnerability without a vendor supplied patch available.

  - A NULL pointer dereference in the SQLite Session Extension in SQLite 3.53.1 and SQLite trunk builds before     check-in e807d4e3798efd53 allows an attacker who can supply a malformed changeset blob to cause a denial     of service. The issue occurs when sqlite3changeset_apply_v3() applies a corrupt changeset and reaches     sqlite3_value_type() with a NULL sqlite3_value pointer. (CVE-2026-50812)

Note that Nessus relies on the presence of the package as reported by the vendor.

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
337205	Amazon Linux 2023 : nodejs22、nodejs22-devel、nodejs22-full-i18n (ALAS2023-2026-2060)	Nessus	Amazon Linux Local Security Checks	2026/8/18	2026/8/26	critical
326090	Linux Distros 未修补的漏洞：CVE-2026-50812	Nessus	Misc.	2026/7/10	2026/9/2	medium
337205	Amazon Linux 2023: nodejs22、nodejs22-devel、nodejs22-full-i18n (ALAS2023-2026-2060)	Nessus	Amazon Linux Local Security Checks	2026/8/18	2026/8/26	critical
326090	Linux Distros 未修補弱點：CVE-2026-50812	Nessus	Misc.	2026/7/10	2026/9/2	medium
326090	Linux Distros のパッチ未適用の脆弱性: CVE-2026-50812	Nessus	Misc.	2026/7/10	2026/9/2	medium
337205	Amazon Linux 2023 : nodejs22、nodejs22-devel、nodejs22-full-i18n (ALAS2023-2026-2060)	Nessus	Amazon Linux Local Security Checks	2026/8/18	2026/8/26	critical
337205	Amazon Linux 2023 : nodejs22, nodejs22-devel, nodejs22-full-i18n (ALAS2023-2026-2060)	Nessus	Amazon Linux Local Security Checks	2026/8/18	2026/8/26	critical
326090	Linux Distros Unpatched Vulnerability : CVE-2026-50812	Nessus	Misc.	2026/7/10	2026/9/2	medium

检测

插件搜索

critical

medium

critical

medium

medium

critical

critical

medium