根据其自我报告的版本号，远程主机上运行的 Atlassian Jira 应用程序版本低于 10.3.25 或 10.4.x 低于 11.3.11. 因此，它受到多种漏洞的影响，包括捆绑的第三方依赖关系中的缺陷：

- 捆绑的 Bouncy Castle 依存关系中多种中断的认证和会话管理漏洞。（CVE-2026-8763 ， CVE-2026-12803， ， CVE-2026-12802， CVE-2026-12816CVE-2026-59642CVE-2026-59639， ， ）

- 捆绑的 Bouncy Castle 依赖项中的一个注入漏洞。（CVE-2026-59650）

- 捆绑的 Apache Tomcat 依存关系中的多种中断认证和会话管理漏洞。（CVE-2026-53434， CVE-2026-55276， CVE-2026-53404）

- 捆绑的 json5 依存关系中的一个注入漏洞。（CVE-2022-46175）

- 捆绑的 Apache Tomcat 依存关系中的多种拒绝服务漏洞。（CVE-2026-58059， CVE-2026-13506， CVE-2026-68763）

- 捆绑的 tinymce 依存关系中的多种跨站脚本 （XSS） 漏洞。（CVE-2026-47761， CVE-2026-47759， CVE-2026-47762）

- 捆绑的 Bouncy Castle 依赖关系中的多种远程代码执行漏洞。（CVE-2026-14682， CVE-2026-58060）

- 捆绑的 Immutable.js 依存关系中的多种拒绝服务漏洞。（CVE-2026-59880， CVE-2026-59879）

- 捆绑的 axios 依赖关系中的信息泄露漏洞。（CVE-2026-67320）

- 捆绑的 @babel/plugin-transform-modules-systemjs 依赖关系中的远程代码执行漏洞。（CVE-2026-44728）

- 捆绑的 nanoid 依存关系中的拒绝服务漏洞。（CVE-2026-67214）

- 捆绑的 jackson-databind 依存关系中身份验证和会话管理损坏漏洞。（CVE-2026-54513）

- 捆绑的 jackson-databind 依存关系中的拒绝服务漏洞。（CVE-2026-54512）

- 捆绑的 Netty 依赖关系中的拒绝服务漏洞。（CVE-2026-73507）

- 捆绑的 fast-uri 依存关系中的多种服务器端请求伪造 （SSRF） 漏洞。（CVE-2026-75899， CVE-2026-75975， CVE-2026-76172）

- 捆绑的 browserslist 依存关系中的多种拒绝服务漏洞。（CVE-2026-73088， CVE-2026-73089）

- 捆绑 js-yaml 依存关系中的拒绝服务漏洞。（CVE-2026-59869）

- 捆绑的 brace-expansion 依存关系中的多种拒绝服务漏洞。（CVE-2026-14257， CVE-2026-69152）

- 捆绑的 postcss 依存关系中的一个文件包含漏洞。（CVE-2026-73646）

- 捆绑的 fast-uri 依赖关系中的多种注入漏洞。（CVE-2026-13676， CVE-2026-16221， CVE-2026-18446）

- 捆绑的 node-tar 依存关系中的拒绝服务漏洞。（CVE-2026-73566）

- 捆绑的 nanoid 依存关系中的跨站请求伪造 （CSRF） 漏洞。（CVE-2026-73086）

请注意，扫描程序并未测试这些问题，而是仅依据应用程序自我报告的版本号进行判断。

根据其自我报告的版本号，远程主机上运行的 Atlassian Confluence 应用程序版本低于 9.2.24，或是低于 10.2.17 的 9.3.x。因此，它受到多种漏洞的影响，包括捆绑的第三方依赖关系中的缺陷：

- 捆绑的 Netty 依存关系中的多种中间人漏洞。（CVE-2026-45674， CVE-2026-47691）

- 捆绑的 lodash 依存关系中的远程代码执行漏洞。（CVE-2026-4800）

- 捆绑的 Bouncy Castle 依赖项中的一个注入漏洞。（CVE-2026-59650）

- 捆绑的 Bouncy Castle 依存关系中多种中断的认证和会话管理漏洞。（CVE-2026-8763 ， CVE-2026-12803， ， CVE-2026-12802， CVE-2026-59642CVE-2026-59639CVE-2026-12816， ， ）

- 捆绑的 Apache Tomcat 依存关系中的多种中断认证和会话管理漏洞。（CVE-2026-55276， CVE-2026-53404）

- 捆绑的 Netty 依存关系中的多种拒绝服务漏洞。（CVE-2026-56745、、CVE-2026-59901、CVE-2026-48043、CVE-2026-45416CVE-2026-73507CVE-2026-56819CVE-2026-55833） CVE-2026-55831

- 捆绑的 Immutable.js 依存关系中的多种拒绝服务漏洞。（CVE-2026-59880， CVE-2026-59879）

- 捆绑的 Bouncy Castle 依赖关系中的多种拒绝服务漏洞。（CVE-2026-13506， CVE-2026-58059）

- 捆绑的 Bouncy Castle 依赖关系中的多种远程代码执行漏洞。（CVE-2026-14682， CVE-2026-58060）

- 捆绑的 Netty 依存关系中的一个不当授权漏洞。（CVE-2026-44249）

- 捆绑的 node-tar 依存关系中的拒绝服务漏洞。（CVE-2026-73566）

- 捆绑的 Netty 依赖关系中存在中断的身份验证和会话管理漏洞。（CVE-2026-50010）

- 捆绑的 nanoid 依存关系中的跨站请求伪造 （CSRF） 漏洞。（CVE-2026-73086）

请注意，扫描程序并未测试这些问题，而是仅依据应用程序自我报告的版本号进行判断。

因此，该软件受到 ALAS2023-2026-3297 公告中提及的多个漏洞影响。

    brace-expansion 库生成包含通用前缀和后缀的任意字符串。在 1.1.19、 2.1.5和 3.0.75.0.10之前，构建的大括号模式可以耗尽 parseCommaParts 中的本地堆栈，因为 parseCommaParts 以递归方式处理每个大括号组的剩余部分一次，并使用 push.apply 将非常大的逗号部分数组的每个元素作为函数参数传递。包含许多逗号分隔的大括号组的模式会触发递归路径，而大数组会触发参数数组路径，不会发生深度递归。这些路径在 max 或 maxLength 限制输出之前造成递归和参数数组原生堆栈耗尽，从而可能在进程终止的拒绝服务中终止 Node.js 进程。此问题已在 1.1.19、2.1.5、3.0.7 和 5.0.10 版本中得到修补。(CVE-2026-102276)

    通过内存耗尽，大括号扩展 5.0.7 容易遭受拒绝服务攻击。expand（） 函数通过最大选项（默认值为 100,000）限制结果数，但不会限制每个结果字符串的长度。攻击者可通过链接多个大括号组，将结果计数保持在限制以下，同时使每个结果逐渐变长，使得总内存会随着计数和字符串长度相应调整，直到进程遇到严重的、无法捕获的内存不足错误。大约 7.5 KB 的输入 （'{a，b}'.repeat（1500）） 会使默认Node.js进程崩溃。任何将受攻击者影响的字符串直接或通过 minimatch / glob 大括号模式传递到 brace-expansion.expand（） 的应用程序都可通过小请求造成崩溃。通过添加一个 maxLength 选项（默认为 4,000,000）来限制累积输出和中间数组，从而修复了此 5.0.8 问题。（CVE-2026-14257）

    brace-expansion 库生成包含通用前缀和后缀的任意字符串。在低于 1.1.18、 和 3.0.65.0.9的2.1.4版本中，expand（） 在构造逗号替代中间数组或填充序列时不应用 maxLength，从而允许攻击者控制的输入耗尽内存或阻断事件循环。漏洞绕过了的 CVE-2026-14257 补丁。此问题已在 1.1.18、2.1.4、3.0.6 和 5.0.9 版本中得到修补。(CVE-2026-69152)

    ip-address 是用于解析和操纵 JavaScript 中的 IPv4 和 IPv6 地址的库。在版本之前 10.3.1，Address4 接受以前导零编写的八进制数，并将其解码为十进制，而 WHATWG URL 主机解析器、inet_aton 和 getaddrinfo 均将前导零解码为八进制。因此，库和网络堆栈对字符串命名的主机存在分歧。新的 Address4（'012.0.0.1'） 报告 correctForm（） of 和 12.0.0.1 isPrivate（） 为 false，但 fetch（'http://012.0.0.1/'） 连接到 10.0.0.1。
    根据这些检查构建网络信任边界决策的应用程序（例如，用于阻止服务器端请求伪造 （SSRF） 的筛选器会将内部目标归类为外部目标并允许请求。该缺陷存在于解析门中，而不是任何一个分类器中，因此 Address4 的每个使用者都会继承它：isPrivate（）、isLoopback（）、isLinkLocal（）、isCGNAT（）、isInSubnet（）、isHostInSubnet（） 和 correctForm（） 都是从错误解码的八进制数计算得出的。此问题已在 10.3.1 版本中修复。
    (CVE-2026-69192)

    node-tar 是一款适用于 Node.js 的 tar 存档操作库。在低于 7.5.21的 中，src/list.ts 中的 node-tar 的 filesFilter 在 tar.t（...） 或 tar.x（...） 接收非空成员选择列表时使用递归 mapHas 帮助程序使用 path.dirname（） 且不使用段端集向上遍历存档条目路径。在 Unpack[CHECKPATH] 应用 maxDepth 之前，构建的具有数千个斜线分隔段的 GNU L 或 PAX x 长路径标头到达 src/parse.ts 的 Parser[CONSUMEHEADER] 中的 this.filter（entry.path， entry），造成无法捕获的 RangeError 堆栈溢出，从而终止异步和流式处理Node.js使用者。此问题已在 7.5.21 版本中修复。(CVE-2026-73566)

Tenable 已直接从测试产品的安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

因此，该软件受到 ALAS2023-2026-3277 公告中提及的多个漏洞影响。

    brace-expansion 库生成包含通用前缀和后缀的任意字符串。在 1.1.19、 2.1.5和 3.0.75.0.10之前，构建的大括号模式可以耗尽 parseCommaParts 中的本地堆栈，因为 parseCommaParts 以递归方式处理每个大括号组的剩余部分一次，并使用 push.apply 将非常大的逗号部分数组的每个元素作为函数参数传递。包含许多逗号分隔的大括号组的模式会触发递归路径，而大数组会触发参数数组路径，不会发生深度递归。这些路径在 max 或 maxLength 限制输出之前造成递归和参数数组原生堆栈耗尽，从而可能在进程终止的拒绝服务中终止 Node.js 进程。此问题已在 1.1.19、2.1.5、3.0.7 和 5.0.10 版本中得到修补。(CVE-2026-102276)

    Undici 的重试拦截器可以将范围重试响应的正文附加到已从较早部分响应传送的字节，同时仍显示原始响应的状态和标头。上游服务器传递缺少可信恢复检查点的部分正文，例如标头已发送的不成功响应或具有不可用内容范围的部分内容响应，然后关闭连接并使用更多字节回答恢复的范围请求，然后会发生这种情况。
    因此，响应正文可能比应用程序观察到的 Content-Length 更长。将此类响应转发到下游 HTTP/1.1 对等机而不规范化框架的应用程序可能会发出超过转发的 Content-Length 的正文，并且多余的字节可被解释为后续响应的开头，从而实现下游响应拆分或去同步化。
    要利用此漏洞，需要攻击者控制的上游服务器和通过帧敏感路径转发响应的应用程序。这会影响 之前 6.28.1的 和 7.0.07.29.1至 的 8.0.08.10.2undici 版本。用户应升级到 undici 6.28.1、 7.29.1或 8.10.2。（CVE-2026-18540）

    node-tar 是一款适用于 Node.js 的 tar 存档操作库。在版本之前 7.5.18，node-tar 将 src/pax.ts 中的全位 PAX 路径和 linkpath 值强制转换为 JavaScript 数字，从而导致下游路径处理（例如 normalizeWindowsPath（entry.path）.split（'/'） 抛出未捕获的 TypeError。此问题已在 7.5.18 版本中修复。(CVE-2026-59871)

    node-tar 是一款适用于 Node.js 的 tar 存档操作库。在版本之前 7.5.17，node-tar 不会从 src/pax.ts 中的 PAX 路径和链接路径记录中剥离空字节，从而允许带有值的构建存档到达 fs.lstat 或 fs.open 并因未捕获异常而终止进程。此问题已在 7.5.17 版本中修复。(CVE-2026-59875)

    node-tar 是一款适用于 Node.js 的 tar 存档操作库。在低于 7.5.21的 中，src/list.ts 中的 node-tar 的 filesFilter 在 tar.t（...） 或 tar.x（...） 接收非空成员选择列表时使用递归 mapHas 帮助程序使用 path.dirname（） 且不使用段端集向上遍历存档条目路径。在 Unpack[CHECKPATH] 应用 maxDepth 之前，构建的具有数千个斜线分隔段的 GNU L 或 PAX x 长路径标头到达 src/parse.ts 的 Parser[CONSUMEHEADER] 中的 this.filter（entry.path， entry），造成无法捕获的 RangeError 堆栈溢出，从而终止异步和流式处理Node.js使用者。此问题已在 7.5.21 版本中修复。(CVE-2026-73566)

Tenable 已直接从测试产品的安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程主机上运行的 Atlassian Jira Service Management Data Center and Server （Jira Service Desk） 版本受到 JSDSERVER-16727 公告中提及的一个漏洞的影响。

  - node-tar 是一款适用于 Node.js 的 tar 存档操作库。在低于 7.5.21的 中，src/list.ts 中的 node-tar 的 filesFilter 在 tar.t（...） 或 tar.x（...） 接收非空成员选择列表时使用递归 mapHas 帮助程序使用 path.dirname（） 且不使用段端集向上遍历存档条目路径。在 Unpack[CHECKPATH] 应用 maxDepth 之前，构建的具有数千个斜线分隔段的 GNU L 或 PAX x 长路径标头到达 src/parse.ts 的 Parser[CONSUMEHEADER] 中的 this.filter（entry.path， entry），造成无法捕获的 RangeError 堆栈溢出，从而终止异步和流式处理Node.js使用者。此问题已在 7.5.21 版本中修复。(CVE-2026-73566)

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

远程主机上运行的 Atlassian Confluence Server 版本受到公告 CONFSERVER-104406 中提及的一个漏洞的影响。

  - node-tar 是一款适用于 Node.js 的 tar 存档操作库。在低于 7.5.21的 中，src/list.ts 中的 node-tar 的 filesFilter 在 tar.t（...） 或 tar.x（...） 接收非空成员选择列表时使用递归 mapHas 帮助程序使用 path.dirname（） 且不使用段端集向上遍历存档条目路径。在 Unpack[CHECKPATH] 应用 maxDepth 之前，构建的具有数千个斜线分隔段的 GNU L 或 PAX x 长路径标头到达 src/parse.ts 的 Parser[CONSUMEHEADER] 中的 this.filter（entry.path， entry），造成无法捕获的 RangeError 堆栈溢出，从而终止异步和流式处理Node.js使用者。此问题已在 7.5.21 版本中修复。(CVE-2026-73566)

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - node-tar 是一款适用于 Node.js 的 tar 存档操作库。在低于 7.5.21的 中，src/list.ts 中的 node-tar 的 filesFilter 在 tar.t（...） 或 tar.x（...） 接收非空成员选择列表时使用递归 mapHas 帮助程序使用 path.dirname（） 且不使用段端集向上遍历存档条目路径。在 Unpack[CHECKPATH] 应用 maxDepth 之前，构建的具有数千个斜线分隔段的 GNU L 或 PAX x 长路径标头到达 src/parse.ts 的 Parser[CONSUMEHEADER] 中的 this.filter（entry.path， entry），造成无法捕获的 RangeError 堆栈溢出，从而终止异步和流式处理Node.js使用者。此问题已在 7.5.21 版本中修复。(CVE-2026-73566)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
115698	Atlassian Jira < 10.4.x < 11.3.11 多个漏洞	Web App Scanning	Component Vulnerability	2026/10/16	2026/10/16	critical
115689	Atlassian Confluence < 9.2.24 多个漏洞	Web App Scanning	Component Vulnerability	2026/10/16	2026/10/16	critical
115690	Atlassian Confluence 9.3.x < 10.2.17 多个漏洞	Web App Scanning	Component Vulnerability	2026/10/16	2026/10/16	critical
115697	Atlassian Jira < 10.3.25 多个漏洞	Web App Scanning	Component Vulnerability	2026/10/16	2026/10/16	critical
371895	Amazon Linux 2023 : nodejs24、nodejs24-devel、nodejs24-full-i18n (ALAS2023-2026-3297)	Nessus	Amazon Linux Local Security Checks	2026/10/25	2026/10/27	high
371836	Amazon Linux 2023 : nodejs22、nodejs22-devel、nodejs22-full-i18n (ALAS2023-2026-3277)	Nessus	Amazon Linux Local Security Checks	2026/10/25	2026/10/25	high
348389	Atlassian Jira Service Management Data Center and Server 10.0.x < 10.3.18 / 10.4.x < 11.3.10 （JSDSERVER-16727）	Nessus	Misc.	2026/9/21	2026/9/21	high
350881	Atlassian Confluence 8.9.x < 9.2.22 / 9.5.x < 10.2.14 （CONFSERVER-104406）	Nessus	CGI abuses	2026/9/28	2026/9/28	high
335384	Linux Distros 未修补的漏洞：CVE-2026-73566	Nessus	Misc.	2026/8/14	2026/11/5	high

检测

插件搜索

critical

critical

critical

critical

high

high

high

high

high