远程主机上安装的 Node.js 版本低于 22.23.2、24.18.1、26.5.1。因此，其会受到 2026 年 7 月 29 日星期三安全版本公告中提及的多个漏洞影响。

  - Node.js 中的缺陷允许伪造的 TypedArray byteLength 在同步 node:zlib API 中触发可访问的断言，从而造成进程崩溃。重复利用此情况可导致拒绝服务。影响：感谢 byvini 报告此漏洞，同时感谢 RafaelGSS 修复此漏洞。(CVE-2026-58045)

  - Node.js HTTP/2 处理中的缺陷可让保留的标头块避开 maxSessionMemory 限制，并造成远程内存耗尽。影响：感谢 leduckhuong 报告此漏洞，同时感谢 mcollina 修复此漏洞。(CVE-2026-56846)

  - Node.js HTTP/2 处理中的缺陷允许在执行 nghttp2_session_mem_recv() 时以重新进入的方式调用 nghttp2_session_mem_send()，进而导致堆释放后使用。影响：感谢 hahahkim 报告此漏洞，同时感谢 mcollina 修复此漏洞。(CVE-2026-56848)

  - Node.js Permission Model 强制执行中的一个缺陷可跨 radix 树前缀边界过度授权文件系统访问权限。在 --permission 下，拥有访问某一路径权限的攻击者可滥用 radix 树前缀边界处理，以读取或写入预期文件系统允许列表外部的路径。影响：感谢 sy2n0 报告此漏洞，同时感谢 RafaelGSS 修复此漏洞。(CVE-2026-58043)

  - Node.js HTTPS 代理连接重用中的一个缺陷可造成 PFX 对象数组密钥冲突，从而允许在配置有不同客户端证书的请求间重用相互 TLS (mTLS) 客户端身份。
    影响：感谢 yottt 报告此漏洞，同时感谢 RafaelGSS 修复此漏洞。
    (CVE-2026-56850)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

因此，该软件受到 ALAS2023-2026-2060 公告中提及的多个漏洞影响。

    括号扩展容易遭受 5.0.6 拒绝服务攻击。expand（） 函数在连续非展开“{}”大括号组的数量中表现出指数时间复杂度。攻击者直接或可传递传递构建的字符串到 expand（），可造成大量 CPU 消耗和事件循环阻断。max 选项无法缓解此问题，因为它会限制输出大小而不是递归功。（CVE-2026-13149）

    undici 未验证 duck 类型类 blob 请求正文的类型属性，便将其用作 HTTP/1.1 调度程序上的 Content-Type 标头。在之前 6.28.0的 、 上 7.0.0 到 之前 7.29.0和 从 8.0.0 上到 之前 8.9.0的 undici 中，传递类型派生自不受信任输入的手动滚动的类似 blob 的正文（通过请求、流、管道或调度）的应用程序允许攻击者注入 CRLF 序列并附加任意 HTTP 标头，从而可能通过上游走私第二个请求。本机 Blob 对象是安全的，因为它们的构造函数从类型中剥离了 CRLF，并且 fetch 由于验证标头而不受影响，但根据用户输入构建 duck 类型 blob 形状的生态系统库可以到达容易受到攻击的路径。这是与标头接收器上的 和 CVE-2026-1527相同的缺陷类CVE-2022-35948，之前的补丁未涵盖该缺陷。undici 6.28.0、 7.29.0和 8.9.0中已修复此问题。（CVE-2026-15157）

    undici 的重试拦截器可提供响应，其正文长度与在重试或恢复部分响应后暴露给应用程序的 Content-Length 标头不匹配。在 之前 、 从 7.0.0 up 到 before 7.29.0和 从 8.0.0 up 到 before 8.9.0的 undici 6.28.0中，恶意或错误的上游可返回带有不匹配的帧标头的部分响应，提前关闭套接字，并使重试拦截器在原始 Content-Length 保持附加状态时组装不同长度的正文。
    使用重试拦截器并将上游标头和正文转发到下游的应用程序（例如代理或网关）然后可能会发出带有过时 Content-Length 的无效 HTTP 响应，从而导致下游响应不同步、连接挂起或响应损坏。要利用此漏洞，需要启用重试拦截器、上游返回不匹配的部分响应，以及下游转发器不删除或重新计算 Content-Length。undici 6.28.0、 7.29.0和 8.9.0中已修复此问题。（CVE-2026-16728）

    undici 的 setCookie 函数未完全审查 Cookie 属性。在之前的 、 从 7.0.0 up 到 before 7.29.0和 从 8.0.0 up 到 before 8.9.0的 undici 6.28.0中，未检查域值是否有分号，并且未审查未解析数组中的条目，因此受攻击者影响的输入可注入其他 Cookie 属性。例如，包含分号的域值可以附加 SameSite 等属性，未解析的条目可以注入 HttpOnly 等属性，而无需调用方对其进行设置。将用户控制的输入传递到这些字段的应用程序（例如将会话 Cookie 范围限定为租户提供的域的多租户或反向代理服务器）可能会绕过 SameSite CSRF 保护，或者强制、剥离或重写 Secure、HttpOnly 和 SameSite 属性。undici 6.28.0、 7.29.0和 8.9.0中已修复此问题。（CVE-2026-16729）

    在签入 e807d4e3798efd53 之前，SQLite 和 SQLite 主干版本的 SQLite 3.53.1 会话扩展中存在空指针取消引用，允许能够提供畸形变更集 blob 的攻击者造成拒绝服务。当 sqlite3changeset_apply_v3（） 应用损坏的变更集并使用空sqlite3_value指针到达 sqlite3_value_type（） 时，会发生此问题。（CVE-2026-50812）

    HTTP/2 保留的标头可绕过 maxSessionMemory 限制 （CVE-2026-56846）

    Node.js权限模型执行中的缺陷允许“trace_events.createTracing（）.enable（）”在“--allow-fs-write外部写入跟踪日志。这可导致机密性影响或在受影响的配置中绕过预期安全边界。此漏洞影响 Node.js **22.x**、**24.x** 和
    **26.x**。（CVE-2026-56847）

    Node.js HTTP/2 处理中的缺陷允许在执行 nghttp2_session_mem_recv（） 时重新进入调用 nghttp2_session_mem_send（），从而导致堆释放后使用。（CVE-2026-56848）

    HTTPS 代理连接重用Node.js缺陷可造成 PFX 对象数组密钥冲突，进而允许在配置有不同客户端证书的请求间重用相互 TLS （mTLS） 客户端身份。此漏洞影响 Node.js **26.x**、**24.x** 和 **22.x**。（CVE-2026-56850）

    Node.js Permission Model 强制执行中的缺陷允许 process.report 在外部写入（和覆盖）文件
    --allow-fs-write 路径。

    这可导致机密性影响或在受影响的配置中绕过预期安全边界。（CVE-2026-58039）

    在 Node.js 中发现一个不完整的修复：HTTPS 代理 TLS 会话重用跳过跨身份策略的主机名验证（不 CVE-2026-48934完整的修复）。此漏洞影响 Node.js **22.x**、**24.x** 和 **26.x**。（CVE-2026-58040）

    当 DNS 响应包含超过 256 条 A 记录时，Node.js 中的缺陷可造成 dns.resolveAny（） 中止进程。

    重复触发此条件可导致拒绝服务。（CVE-2026-58042）

    Node.js Permission Model 强制执行中的缺陷可跨 radix 树前缀边界过度授权文件系统访问权限。在 '--permission' 下，获得访问某一路径权限的攻击者可滥用边界处理来读取或写入预期文件系统允许列表外部的路径。此漏洞影响 Node.js **main**、**22.x**、**24.x** 和 **26.x**。（CVE-2026-58043）

    注意：https://nodejs.org/en/blog/vulnerability/july-2026-security-releases#http-parser-header-truncation-can-enable-request-smuggling-cve-2026-58044---low (CVE-2026-58044)

    注意：https://nodejs.org/en/blog/vulnerability/july-2026-security-releases#nodezlib-sync-apis-can-crash-on-spoofed-typedarray-length-cve-2026-58045---medium (CVE-2026-58045)

    node-tar 是一款适用于 Node.js 的 tar 存档操作库。在版本之前 7.5.19，node-tar 不对提取和解析路径（例如 src/extract.ts）中的总解压缩数据、条目计数或解压缩比率强制实施硬性上限，从而允许构建的小型 gzip 炸弹耗尽磁盘空间和 CPU。
    此问题已在 7.5.19 版本中修复。(CVE-2026-59873)

    node-tar 是一款适用于 Node.js 的 tar 存档操作库。在版本 7.5.18之前，tar.replace 接受包含负 base-256 编码条目大小的校验和有效 tar 标头，从而导致存档扫描程序在重复解析同一标头时没有进度。此问题已在 7.5.18 版本中修复。
    (CVE-2026-59874)

    通过未绑定的 DNS 名称压缩指针链 （CVE-2026-69184） 导致的 CPU 耗尽拒绝服务

    pacote 11.2.7 程序包的版本容易遭受通过 addGitSha 函数发动的拒绝服务 （DoS） 攻击。攻击者可通过提供特别构建的 spec.rawSpec 值来触发函数的 regex 替换和字符串操纵逻辑，从而利用此漏洞造成过度消耗 CPU 并可能导致进程停止或崩溃。（CVE-2026-9496）

Tenable 已直接从测试产品的安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - Node.js 权限模型强制执行中的缺陷允许“trace_events.createTracing（）.enable（）”将跟踪日志写入“外部”--allow-fs-write。这可导致机密性影响或在受影响的配置中绕过预期安全边界。此漏洞影响 Node.js **22.x**、**24.x** 和 **26.x**。（CVE-2026-56847）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

远程 Debian 13 主机上存在安装的程序包，该程序包受到 dsa-6517 公告中提及的多个漏洞的影响。

    - ------------------------------------------------------------------------- Debian 安全公告 DSA-6517-1 security@debian.org https://www.debian.org/security/Moritz Muehlenhoff 2026 年 9 月 26 日 https://www.debian.org/security/faq
    - -------------------------------------------------------------------------

    程序包：nodejs CVE ID： CVE-2026-48617 CVE-2026-48618 CVE-2026-48619 CVE-2026-48928 CVE-2026-48930 CVE-2026-48931 CVE-2026-48933 CVE-2026-48934 CVE-2026-48935 CVE-2026-48937 CVE-2026-56846 CVE-2026-56847 CVE-2026-56848 CVE-2026-56850 CVE-2026-58039

    在 Node.js 中发现多个漏洞，可导致拒绝服务、权限模型绕过、不正确的证书验证或信息泄露。

    对于稳定发行版本 （trixie），已在版本 20.19.2+dfsg-1+deb13u3 中修复这些问题。

    我们建议您升级 nodejs 程序包。

    如需了解 nodejs 的详细安全状态，请参阅其安全跟踪页面：
    https://security-tracker.debian.org/tracker/nodejs

    有关 Debian 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://www.debian.org/security/

    邮件列表：debian-security-announce@lists.debian.org

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

因此，该软件受到 ALAS2023-2026-2059 公告中提及的多个漏洞影响。

    括号扩展容易遭受 5.0.6 拒绝服务攻击。expand（） 函数在连续非展开“{}”大括号组的数量中表现出指数时间复杂度。攻击者直接或可传递传递构建的字符串到 expand（），可造成大量 CPU 消耗和事件循环阻断。max 选项无法缓解此问题，因为它会限制输出大小而不是递归功。（CVE-2026-13149）

    undici 的缓存拦截器未正确处理畸形的 Cache-Control 专用指令。在之前和7.29.08.0.08.9.0之前的 undici 7.0.0 中，携带退化限定私有指令（例如设置为空值的 private ）的响应可以存储在默认共享缓存中，稍后提供给具有相同缓存密钥的不同调用程序，从而泄露私有响应正文和标头，包括 Set-Cookie。另外，将不限定的专用指令与限定的指令相结合的 Cache-Control 标头会在 cache-control 解析器中触发未捕获的 TypeError，从而拒绝请求，并且可终止进程（具体取决于使用者的错误处理方式）。这两个问题都会影响在共享模式中使用缓存拦截器的应用程序，包括默认配置。这些问题已在 undici 7.29.0 和 8.9.0.（CVE-2026-13697）

    undici 的缓存拦截器未正确处理限定的无缓存指令或专用缓存控制指令的等号周围放置的可选空白。在 undici from 7.0.0 up to before 7.29.0 和 from 8.0.0 up to before 8.9.0中，解析器要么删除指令，要么存储带有文字引号字符的字段名，因此缓存决策无法识别限定，并且存储响应。在共享缓存模式下，当两个请求解析为同一缓存密钥时，这允许包含一个用户的认证数据的响应从缓存提供给后来的调用程序，包括未经认证的调用程序。它会影响在共享模式下启用缓存拦截器、向上游转发授权标头以及接收在等号周围填充有空格的限定指令的可缓存响应的应用程序。这是补丁 CVE-2026-9678 未规范化的空格周围相等变体，已在 undici 7.29.0 和 8.9.0.（CVE-2026-14643）

    undici 未验证 duck 类型类 blob 请求正文的类型属性，便将其用作 HTTP/1.1 调度程序上的 Content-Type 标头。在之前 6.28.0的 、 上 7.0.0 到 之前 7.29.0和 从 8.0.0 上到 之前 8.9.0的 undici 中，传递类型派生自不受信任输入的手动滚动的类似 blob 的正文（通过请求、流、管道或调度）的应用程序允许攻击者注入 CRLF 序列并附加任意 HTTP 标头，从而可能通过上游走私第二个请求。本机 Blob 对象是安全的，因为它们的构造函数从类型中剥离了 CRLF，并且 fetch 由于验证标头而不受影响，但根据用户输入构建 duck 类型 blob 形状的生态系统库可以到达容易受到攻击的路径。这是与标头接收器上的 和 CVE-2026-1527相同的缺陷类CVE-2022-35948，之前的补丁未涵盖该缺陷。undici 6.28.0、 7.29.0和 8.9.0中已修复此问题。（CVE-2026-15157）

    undici 的重试拦截器可提供响应，其正文长度与在重试或恢复部分响应后暴露给应用程序的 Content-Length 标头不匹配。在 之前 、 从 7.0.0 up 到 before 7.29.0和 从 8.0.0 up 到 before 8.9.0的 undici 6.28.0中，恶意或错误的上游可返回带有不匹配的帧标头的部分响应，提前关闭套接字，并使重试拦截器在原始 Content-Length 保持附加状态时组装不同长度的正文。
    使用重试拦截器并将上游标头和正文转发到下游的应用程序（例如代理或网关）然后可能会发出带有过时 Content-Length 的无效 HTTP 响应，从而导致下游响应不同步、连接挂起或响应损坏。要利用此漏洞，需要启用重试拦截器、上游返回不匹配的部分响应，以及下游转发器不删除或重新计算 Content-Length。undici 6.28.0、 7.29.0和 8.9.0中已修复此问题。（CVE-2026-16728）

    undici 的 setCookie 函数未完全审查 Cookie 属性。在之前的 、 从 7.0.0 up 到 before 7.29.0和 从 8.0.0 up 到 before 8.9.0的 undici 6.28.0中，未检查域值是否有分号，并且未审查未解析数组中的条目，因此受攻击者影响的输入可注入其他 Cookie 属性。例如，包含分号的域值可以附加 SameSite 等属性，未解析的条目可以注入 HttpOnly 等属性，而无需调用方对其进行设置。将用户控制的输入传递到这些字段的应用程序（例如将会话 Cookie 范围限定为租户提供的域的多租户或反向代理服务器）可能会绕过 SameSite CSRF 保护，或者强制、剥离或重写 Secure、HttpOnly 和 SameSite 属性。undici 6.28.0、 7.29.0和 8.9.0中已修复此问题。（CVE-2026-16729）

    node-tar 是一款功能齐全的 Node.js Tar。在 7.5.16之前，tar （node-tar） 将 PAX 扩展标头的 size= record（以及其他 PAX 覆盖）应用于任何类型的下一个标头条目，包括中间元数据标头，例如 GNU 长名称 （L） 或长链接 （K） 条目。根据 POSIX pax，PAX 扩展标头 （x） 描述下一个文件条目，而不是可能位于 x 标头及其注释的文件之间的中间扩展标头。由于 node-tar 让 PAX 大小替代中间 L/K/x 标头的字节长度，攻击者可使 node-tar 的流游标相对于其他每个主流 tar 实现（GNU tar、libarchive/bsdtar、Python tarfile 和现已修复的 tar-rs/astral-tokio-tar）取消同步。结果是 tar 解析器解释差异 （CWE-436）：单个构建的存档在 node-tar 下产生的成员集与在参考 tar 工具下产生的成员集不同。攻击者可利用此漏洞在另一个解析器可见时隐藏该成员，这会破坏扫描程序和提取器对存档内容不一致的安全工具（例如，恶意软件/秘密扫描程序列出一个库的条目，而下游步骤使用另一个库进行提取） 该漏洞已在 7.5.16中修复。（CVE-2026-53655）

    HTTP/2 保留的标头可绕过 maxSessionMemory 限制 （CVE-2026-56846）

    Node.js权限模型执行中的缺陷允许“trace_events.createTracing（）.enable（）”在“--allow-fs-write外部写入跟踪日志。这可导致机密性影响或在受影响的配置中绕过预期安全边界。此漏洞影响 Node.js **22.x**、**24.x** 和
    **26.x**。（CVE-2026-56847）

    Node.js HTTP/2 处理中的缺陷允许在执行 nghttp2_session_mem_recv（） 时重新进入调用 nghttp2_session_mem_send（），从而导致堆释放后使用。（CVE-2026-56848）

    HTTPS 代理连接重用Node.js缺陷可造成 PFX 对象数组密钥冲突，进而允许在配置有不同客户端证书的请求间重用相互 TLS （mTLS） 客户端身份。此漏洞影响 Node.js **26.x**、**24.x** 和 **22.x**。（CVE-2026-56850）

    Node.js Permission Model 强制执行中的缺陷允许 process.report 在外部写入（和覆盖）文件
    --allow-fs-write 路径。

    这可导致机密性影响或在受影响的配置中绕过预期安全边界。（CVE-2026-58039）

    在 Node.js 中发现一个不完整的修复：HTTPS 代理 TLS 会话重用跳过跨身份策略的主机名验证（不 CVE-2026-48934完整的修复）。此漏洞影响 Node.js **22.x**、**24.x** 和 **26.x**。（CVE-2026-58040）

    注意：https://nodejs.org/en/blog/vulnerability/july-2026-security-releases#nodesqlite-sqltagstore-iterator-replay-can-re-execute-writes-cve-2026-58041---medium (CVE-2026-58041)

    当 DNS 响应包含超过 256 条 A 记录时，Node.js 中的缺陷可造成 dns.resolveAny（） 中止进程。

    重复触发此条件可导致拒绝服务。（CVE-2026-58042）

    Node.js Permission Model 强制执行中的缺陷可跨 radix 树前缀边界过度授权文件系统访问权限。在 '--permission' 下，获得访问某一路径权限的攻击者可滥用边界处理来读取或写入预期文件系统允许列表外部的路径。此漏洞影响 Node.js **main**、**22.x**、**24.x** 和 **26.x**。（CVE-2026-58043）

    注意：https://nodejs.org/en/blog/vulnerability/july-2026-security-releases#http-parser-header-truncation-can-enable-request-smuggling-cve-2026-58044---low (CVE-2026-58044)

    注意：https://nodejs.org/en/blog/vulnerability/july-2026-security-releases#nodezlib-sync-apis-can-crash-on-spoofed-typedarray-length-cve-2026-58045---medium (CVE-2026-58045)

    node-tar 是一款适用于 Node.js 的 tar 存档操作库。在版本之前 7.5.18，node-tar 将 src/pax.ts 中的全位 PAX 路径和 linkpath 值强制转换为 JavaScript 数字，从而导致下游路径处理（例如 normalizeWindowsPath（entry.path）.split（'/'） 抛出未捕获的 TypeError。此问题已在 7.5.18 版本中修复。(CVE-2026-59871)

    node-tar 是一款适用于 Node.js 的 tar 存档操作库。在版本之前 7.5.19，node-tar 不对提取和解析路径（例如 src/extract.ts）中的总解压缩数据、条目计数或解压缩比率强制实施硬性上限，从而允许构建的小型 gzip 炸弹耗尽磁盘空间和 CPU。
    此问题已在 7.5.19 版本中修复。(CVE-2026-59873)

    node-tar 是一款适用于 Node.js 的 tar 存档操作库。在版本 7.5.18之前，tar.replace 接受包含负 base-256 编码条目大小的校验和有效 tar 标头，从而导致存档扫描程序在重复解析同一标头时没有进度。此问题已在 7.5.18 版本中修复。
    (CVE-2026-59874)

    node-tar 是一款适用于 Node.js 的 tar 存档操作库。在版本之前 7.5.17，node-tar 不会从 src/pax.ts 中的 PAX 路径和链接路径记录中剥离空字节，从而允许带有值的构建存档到达 fs.lstat 或 fs.open 并因未捕获异常而终止进程。此问题已在 7.5.17 版本中修复。(CVE-2026-59875)

    通过未绑定的 DNS 名称压缩指针链 （CVE-2026-69184） 导致的 CPU 耗尽拒绝服务

Tenable 已直接从测试产品的安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
330668	Node.js 22.x < 22.23.2 / 24.x < 24.18.1 / 26.x < 26.5.1 多个漏洞（2026 年 7 月 29 日星期三安全版本）。	Nessus	Misc.	2026/7/29	2026/8/27	high
337205	Amazon Linux 2023 : nodejs22、nodejs22-devel、nodejs22-full-i18n (ALAS2023-2026-2060)	Nessus	Amazon Linux Local Security Checks	2026/8/18	2026/8/26	critical
331232	Linux Distros 未修补的漏洞：CVE-2026-56847	Nessus	Misc.	2026/7/30	2026/9/28	medium
350783	Debian DSA-6517：libnode-dev - 安全更新	Nessus	Debian Local Security Checks	2026/9/26	2026/9/26	critical
337228	Amazon Linux 2023 : nodejs24、nodejs24-devel、nodejs24-full-i18n (ALAS2023-2026-2059)	Nessus	Amazon Linux Local Security Checks	2026/8/18	2026/8/25	critical

检测

插件搜索

high

critical

medium

critical

critical