There are packages installed that are affected by multiple vulnerabilities referenced in the following CVEs:

  - A flaw in Node.js Permission Model enforcement can over-grant filesystem access across radix-tree prefix
    boundaries. Under `--permission`, an attacker who is granted access to one path can abuse boundary
    handling to read from or write to paths outside the intended filesystem allowlist. This vulnerability
    affects Node.js **main**, **22.x**, **24.x**, and **26.x**. (CVE-2026-58043)

  - A flaw in Node.js Permission Model enforcement allows `trace_events.createTracing().enable()` Writes Trace
    Logs Outside `--allow-fs-write`. This can lead to confidentiality impact or bypass of the intended
    security boundary under affected configurations. This vulnerability affects Node.js **22.x**, **24.x**,
    and **26.x**. (CVE-2026-56847)

  - A flaw in Node.js HTTPS Agent connection reuse can cause PFX object-array key collisions, allowing mutual
    TLS (mTLS) client identities to be reused across requests configured with different client certificates.
    This vulnerability affects Node.js **26.x**, **24.x**, and **22.x**. (CVE-2026-56850)

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - Node.js Permission Model 强制执行中的缺陷允许 process.report 在外部写入（和覆盖）文件
    --allow-fs-write 路径。这可导致机密性影响或在受影响的配置中绕过预期安全边界。此漏洞影响 Node.js **22.x**、**24.x** 和
    **26.x**。（CVE-2026-58039）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

远程主机上安装的 Node.js 版本低于 22.23.2、24.18.1、26.5.1。因此，如 2026 年 7 月 29 日星期三安全发布公告所述，受到多个漏洞的影响。

  - Node.js 中的缺陷允许伪造的 TypedArray byteLength 在同步 node：zlib API 中触发可访问的断言，从而造成进程崩溃。重复利用此条件可导致拒绝服务。影响：感谢 byvini 报告此漏洞，并感谢 RafaelGSS 修复此漏洞。（CVE-2026-58045）

  - Node.js HTTP/2 处理中的缺陷可让保留的标头块逃避 maxSessionMemory 限制，并造成远程内存耗尽。影响：感谢 leduckhuong 报告此漏洞，并感谢 mcollina 修复此漏洞。（CVE-2026-56846）

  - HTTP/2 处理Node.js缺陷允许在执行 nghttp2_session_mem_recv（） 时重新进入调用 nghttp2_session_mem_send（），从而导致堆释放后使用。影响：感谢 hahahkim 报告此漏洞，并感谢 mcollina 修复此漏洞。（CVE-2026-56848）

  - Node.js Permission Model 强制执行中的一个缺陷可跨 radix 树前缀边界过度授权文件系统访问权限。在下 --permission，拥有访问某一路径权限的攻击者可滥用 radix-tree 前缀边界处理，来读取或写入预期文件系统允许列表外部的路径。影响：感谢 sy2n0 报告此漏洞，并感谢 RafaelGSS 修复此漏洞。（CVE-2026-58043）

  - HTTPS 代理连接重用Node.js缺陷可造成 PFX 对象数组密钥冲突，从而允许在配置有不同客户端证书的请求间重用相互 TLS （mTLS） 客户端身份。
    影响：感谢 yottt 报告此漏洞，并感谢 RafaelGSS 修复此漏洞。
    (CVE-2026-56850)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且廠商未提供可用的修補程式。

  - Node.js權限模型強制執行中的缺陷允許 process.report 寫入 （和覆寫） 外部檔案
    --allow-fs-write 路徑。這可能會導致機密性影響，或在受影響的組態下繞過預期的安全邊界。此弱點會影響 Node.js **22.x**、**24.x** 和
    **26.x**。（CVE-2026-58039）

請注意，Nessus 的判定取決於廠商所報告的套件是否存在。

遠端主機上安裝的 Node.js 版本早於 22.23.2、24.18.1 或 26.5.1。因此，它會受到 2026 年 7 月 29 日星期三安全性版本公告中提及的多個弱點的影響。

  - Node.js中的一個缺陷允許欺騙的 TypedArray byteLength 在同步 node：zlib API 中觸發可連線的判斷提示，從而導致處理程序當機。重複利用此條件可能會導致拒絕服務。影響：感謝 byvini 通報此弱點，並感謝 RafaelGSS 修正此弱點。（CVE-2026-58045）

  - Node.js HTTP/2 處理中的缺陷可能會讓保留的標頭區塊規避 maxSessionMemory 限制並導致遠端記憶體耗盡。影響：感謝 leduckhuong 通報此弱點，並感謝 mcollina 修正此弱點。（CVE-2026-56846）

  - Node.js HTTP/2 處理中的一個缺陷允許在執行 nghttp2_session_mem_recv（） 時以重新進入方式呼叫 nghttp2_session_mem_send（），從而導致釋放後堆積使用。影響：感謝 hahahkim 通報此弱點，並感謝 mcollina 修正此弱點。（CVE-2026-56848）

  - Node.js權限模型強制執行中的缺陷可能會過度授予跨基數樹狀結構前綴邊界的檔案系統存取權。在 下 --permission，被授予一個路徑存取權的攻擊者可以濫用 radix-tree 前綴邊界處理來讀取或寫入預期檔案系統允許清單之外的路徑。影響：感謝 sy2n0 通報此弱點，並感謝 RafaelGSS 修正此弱點。（CVE-2026-58043）

  - Node.js HTTPS 代理程式連線重複使用中的缺陷可能會導致 PFX 物件陣列金鑰衝突，從而允許在使用不同用戶端憑證設定的請求之間重複使用相互TLS （mTLS） 用戶端身分。
    影響：感謝 yottt 通報此弱點，並感謝 RafaelGSS 修正此弱點。
    (CVE-2026-56850)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

リモートホストにインストールされている Node.js のバージョンは、22.23.2、24.18.1、26.5.1より前のものです。したがって、2026年7月29日水曜日のセキュリティリリースアドバイザリに記載されているとおり、複数の脆弱性の影響を受けます。

  - Node.js の欠陥により、偽装された TypedArray byteLength が、同期 node:zlib API で到達可能なアサーションをトリガーし、プロセスをクラッシュさせる可能性があります。この状態を繰り返し悪用すると、サービス拒否を引き起こす可能性があります。影響:この脆弱性を報告してくれたbyviniと、修正してくれたRafaelGSSに感謝の意を表します。(CVE-2026-58045)

  - HTTP/2 処理Node.js欠陥により、保持されたヘッダーブロックが maxSessionMemory 制限を回避し、リモートメモリを枯渇させる可能性があります。影響:この脆弱性を報告してくれたleduckhuong氏と、修正してくれたmcollina氏に感謝の意を表します。(CVE-2026-56846)

  - Node.js HTTP/2 処理の欠陥により、nghttp2_session_mem_recv() の実行中に nghttp2_session_mem_send() が再入的に呼び出され、ヒープの use-after-free が引き起こされます。影響:この脆弱性を報告してくれた hahahkim 氏、および修正してくれた mcollina 氏に感謝の意を表します。(CVE-2026-56848)

  - Node.js権限モデルの強制における欠陥により、基数木プレフィックスの境界を越えてファイルシステムアクセスが過剰に付与される可能性があります。--permissionでは、1つのパスへのアクセスが許可された攻撃者が、基数木プレフィックス境界処理を悪用して、意図されたファイルシステムの許可リスト外のパスからの読み取りまたは書き込みを行う可能性があります。影響:この脆弱性を報告してくれたsy2n0と、修正してくれたRafaelGSSに感謝の意を表します。(CVE-2026-58043)

  - HTTPS Agent 接続再利用Node.js欠陥により、PFX オブジェクト配列キーの衝突が引き起こされ、異なるクライアント証明書で構成されたリクエスト間で相互TLS(mTLS)クライアント ID が再利用される可能性があります。
    影響:この脆弱性を報告してくれたyotttと、修正してくれたRafaelGSSに感謝の意を表します。
    (CVE-2026-56850)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - Node.js権限モデルの強制における欠陥により、process.report による外部ファイルの書き込み(および上書き)が可能になります
    --allow-fs-write パス。これにより、影響を受ける設定で機密性に影響が及んだり、意図されたセキュリティ境界がバイパスされたりする可能性があります。この脆弱性は、**22.x**、**24.x** Node.js に影響します。
    **26.x**。(CVE-2026-58039)

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

The Linux/Unix host has one or more packages installed that are impacted by a vulnerability without a vendor supplied patch available.

  - A flaw in Node.js Permission Model enforcement allows process.report writes (and overwrites) files outside
    --allow-fs-write paths. This can lead to confidentiality impact or bypass of the intended security     boundary under affected configurations. This vulnerability affects Node.js **22.x**, **24.x**, and
    **26.x**. (CVE-2026-58039)

Note that Nessus relies on the presence of the package as reported by the vendor.

The version of Node.js installed on the remote host is prior to 22.23.2, 24.18.1, 26.5.1. It is, therefore, affected by multiple vulnerabilities as referenced in the Wednesday, July 29, 2026 Security Releases advisory.

  - A flaw in Node.js allows a spoofed TypedArray byteLength to trigger a reachable assertion in the     synchronous node:zlib APIs, causing the process to crash. Repeated exploitation of this condition can     result in a denial of service. Impact: Thank you, to byvini for reporting this vulnerability and thank you     RafaelGSS for fixing it. (CVE-2026-58045)

  - A flaw in Node.js HTTP/2 handling can let retained header blocks evade maxSessionMemory limits and cause     remote memory exhaustion. Impact: Thank you, to leduckhuong for reporting this vulnerability and thank you     mcollina for fixing it. (CVE-2026-56846)

  - A flaw in Node.js HTTP/2 handling allows nghttp2_session_mem_send() to be called re-entrantly while     nghttp2_session_mem_recv() is executing, resulting in a heap-use-after-free. Impact: Thank you, to     hahahkim for reporting this vulnerability and thank you mcollina for fixing it. (CVE-2026-56848)

  - A flaw in Node.js Permission Model enforcement can over-grant filesystem access across radix-tree prefix     boundaries. Under --permission, an attacker who is granted access to one path can abuse radix-tree prefix     boundary handling to read from or write to paths outside the intended filesystem allowlist. Impact: Thank     you, to sy2n0 for reporting this vulnerability and thank you RafaelGSS for fixing it. (CVE-2026-58043)

  - A flaw in Node.js HTTPS Agent connection reuse can cause PFX object-array key collisions, allowing mutual     TLS (mTLS) client identities to be reused across requests configured with different client certificates.
    Impact: Thank you, to yottt for reporting this vulnerability and thank you RafaelGSS for fixing it.
    (CVE-2026-56850)

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
445481	Alpine: multiple nodejs packages: security update to 22.23.2-r0	Tenable Cloud Security	Alpine Linux Local Security Checks	2026/7/30	2026/7/31	high
445480	Alpine: multiple nodejs packages: security update to 24.18.1-r0	Tenable Cloud Security	Alpine Linux Local Security Checks	2026/7/30	2026/7/31	high
445481	Alpine: multiple nodejs packages: security update to 22.23.2-r0	Tenable Self-Hosted Container Security	Alpine Linux Local Security Checks	2026/7/30	2026/7/31	high
445480	Alpine: multiple nodejs packages: security update to 24.18.1-r0	Tenable Self-Hosted Container Security	Alpine Linux Local Security Checks	2026/7/30	2026/7/31	high
331083	Linux Distros 未修补的漏洞：CVE-2026-58039	Nessus	Misc.	2026/7/30	2026/7/31	low
330668	Node.js 22.x < 22.23.2 / 24.x < 24.18.1 / 26.x < 26.5.1 多个漏洞（2026 年 7 月 29 日星期三安全版本）。	Nessus	Misc.	2026/7/29	2026/7/31	high
331083	Linux Distros 未修補弱點：CVE-2026-58039	Nessus	Misc.	2026/7/30	2026/7/31	low
330668	Node.js 22.x < 22.23.2 / 24.x < 24.18.1 / 26.x < 26.5.1 多個弱點（2026 年 7 月 29 日星期三安全性版本）。	Nessus	Misc.	2026/7/29	2026/7/31	high
330668	Node.js 22.x < 22.23.2 / 24.x < 24.18.1 / 26.x < 26.5.1 の複数の脆弱性 (2026 年 7 月 29 日水曜日のセキュリティリリース)	Nessus	Misc.	2026/7/29	2026/7/31	high
331083	Linux Distros のパッチ未適用の脆弱性: CVE-2026-58039	Nessus	Misc.	2026/7/30	2026/7/31	low
331083	Linux Distros Unpatched Vulnerability : CVE-2026-58039	Nessus	Misc.	2026/7/30	2026/7/31	low
330668	Node.js 22.x < 22.23.2 / 24.x < 24.18.1 / 26.x < 26.5.1 Multiple Vulnerabilities (Wednesday, July 29, 2026 Security Releases).	Nessus	Misc.	2026/7/29	2026/7/31	high

检测

插件搜索

high

high

high

high

low

high

low

high

high

low

low

high