There are packages installed that are affected by a vulnerability referenced in the following CVE:

  - undici is an HTTP client library for Node.js. In versions 7.15.0 through 7.30.0 and 8.0.0 through 8.12.1,
    its decompress interceptor forwards decompressed response data to the downstream handler from zlib stream
    event callbacks without catching exceptions those callbacks may throw, and while undici's engine converts
    a synchronous throw from a downstream handler into a per-request failure, that protection is absent when
    the throw happens asynchronously from a zlib callback. As a result, a downstream handler that throws by
    design, such as the built-in dump interceptor which throws when a response exceeds its configured maximum
    size, escapes as an uncaught exception that terminates the Node.js process. A malicious or compromised
    HTTP server can crash any client that composes the decompress interceptor with such a handler by returning
    a small compressed body that decompresses to more than the configured limit, so only the decompressed size
    matters and the bytes on the wire stay tiny. The issue is fixed in undici 7.30.1 and 8.12.2, and users
    should upgrade to one of those versions or later. As a workaround, avoid composing the decompress
    interceptor with a response handler that throws during response processing until upgrading.
    (CVE-2026-87029)

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且廠商未提供可用的修補程式。

  - UNDICI 是 Node.js 的HTTP用戶端程式庫。在整個7.30.08.0.08.12.1版本7.15.0中，其解壓縮攔截器將解壓縮的回應資料從 zlib 串流事件回呼轉發到下游處理常式，而不會捕獲這些回呼可能拋出的異常，雖然 undici 的引擎將來自下游處理常式的同步拋出轉換為每個請求的失敗，但當拋出從 zlib 回調異步發生時，該保護就不存在了。因此，設計擲回的下游處理常式 （例如當回應超出其設定的大小上限時擲回的內建傾印攔截器） 會逸出為終止Node.js處理程序的未擷取例外狀況。惡意或受損的 HTTP 伺服器可能會傳回一個小型壓縮內文，該主體會解壓縮到超過設定的限制，從而使任何使用此類處理常式組成解壓縮攔截器的用戶端當機，因此只有解壓縮的大小才重要，並且線上的位元組保持很小。此問題已在 undici 7.30.1 和 8.12.2中修正，使用者應升級至其中一個版本或更新版本。因應措施是避免使用回應處理常式來撰寫解壓縮攔截器，回應處理常式會在回應處理期間擲回，直到升級為止。
    (CVE-2026-87029)

請注意，Nessus 依賴供應商報告的套件存在。

因此，它會受到 ALAS2023-2026-3330 公告中所提及的多個弱點影響。

    Node.js HTTP Agent 處理中的弱點允許保持連線通訊端處理在傳送對應要求之前寫入的回應。這可能會導致不正確的回應關聯，並可能導致 HTTP 回應混淆或意外資料暴露。（CVE-2026-105481）

    Node.js 中的弱點允許「dns.resolve」函式不當處理包含空位元組的網域名稱，進而可能導致網域名稱截斷和主機名稱驗證不一致。這可能允許依賴主機名稱驗證的應用程式處理意外的網域名稱。此問題會影響 Node.js 22.x、 24.x和 26.x 發行行。升級至已修補的版本以解決此弱點。
    (CVE-2026-105482)

    TLS 憑證：當 IP 寫入全角數字 （https://nodejs.org/en/blog/vulnerability/october-2026-security-releases#tls-certificate-hostname-bypass-when-the-ip-is-written-fullwidth-digits-cve-2026-105483---high）CVE-2026-105483 （） 時，繞過 TLS 憑證主機名稱

    Node.js TLS 憑證主機名稱驗證中的弱點允許鬆散解析為 IP 位址的主機名稱繞過主機名稱驗證。這可能使攻擊者能夠模擬受信任的端點，並可能促進中間人攻擊。（CVE-2026-106069）

    Node.js TLS 憑證驗證中的弱點可導致非正式 IPv4 主機名稱與憑證中的DNS主體別名 （SAN） 項目錯誤比對。這可能允許為 DNS 名稱核發的憑證驗證 IP 端點，進而略過預期的主機名稱驗證。（CVE-2026-106072）

    Node.js 中的弱點會導致「crypto.randomUUID（）」和「crypto.randomInt（）」使用的熵快取保留在使用者空間啟動快照和單一可執行應用程式 （SEA） 中。因此，從同一快照初始化的多個進程可能會產生重複值，從而削弱隨機性，並可能損害依賴唯一或不可預測值的安全機制。（CVE-2026-106073）

    Node.js 權限模型中的一個弱點允許透過「fs.realpathSync（）」繞過檔案系統存取限制。這可讓應用程式存取應受設定權限原則限制的檔案系統路徑。（CVE-2026-106074）

    UNDICI 是 Node.js 的HTTP用戶端程式庫。在 、 7.0.0 和 8.0.07.30.08.12.1通過 的6.29.0版本4.0.0中，其代理程式分派器會先透過 JSON 型深層複製傳遞其建構函式選項，然後再將它們轉送至每個來源集區，而且由於 JSON 無法表示函式，因此包含 checkServerIdentity 回呼的呼叫端提供的 tls 選項在到達 TLS 層之前會以無訊息方式刪除。因此，會以無訊息方式接受其自訂 checkServerIdentity 憑證已寫入拒絕，但通過 Node 預設主機名稱和鏈結檢查的 TLS 對等體。由於 Agent 是 request、fetch 和 setGlobalDispatcher 背後的預設分派器，因此這會影響大多數應用程式使用的路徑，而 EnvHttpProxyAgent 的直接和無 Proxy 路由也會受到影響，而只有傳遞函式值 tls 選項 （例如憑證或公開金鑰釘選的自訂 checkServerIdentity） 的應用程式才有風險。此問題已在 undici 6.29.1、 7.30.1和 8.12.2中修正，它們會在 JSON 複製之外保留 tls 選項，因此自訂驗證回呼會原封不動地轉送，而且使用者應升級至其中一個版本或更新版本。因應措施是透過 connect 而不是 tls 傳遞 TLS 選項，或針對代理目的地使用 requestTls 和 proxyTls。（CVE-2026-109383）

    UNDICI 是 Node.js 的HTTP用戶端程式庫。在 7.0.0 版本 7.30.08.0.08.12.1中，當無來源代理程式以共用快取存放區依順序撰寫重新導向和快取攔截器時，快取會在重新導向處理常式變更來源之前，從原始要求 URL 建立其金鑰，因此跨來源重新導向之後產生的回應會儲存在原始金鑰下。控制來自受信任 URL 的重新導向目標的攻擊者可以將其回應快取在該受信任 URL 下，並提供給後來的呼叫者，從而允許持續的快取中毒，而相同的金鑰混淆允許對使用者特定資源的私密、未儲存的重新導向回應儲存在原始 URL 下，並提供給後來未經驗證的呼叫者， 揭露私人資料。只有在全部使用無來源代理程式、共用快取儲存庫及重新導向然後快取組合時，應用程式才會受到影響。此問題已在 undici 7.30.1 和 8.12.2中修正，其會驗證產生的來源是否仍符合快取金鑰，並在儲存之前保留每個重新導向躍點的快取控制原則，使用者應升級至其中一個版本或更新版本。因應措施是在重新導向攔截器之前撰寫快取攔截器、使用每個來源的分派器和快取存放區，或在支援重新導向的要求上停用共用快取。
    (CVE-2026-109829)

    UNDICI 是 Node.js 的HTTP用戶端程式庫。在版本8.12.17.30.08.0.0中7.15.0，其 fetch（） 實作會透過將演算法權杖與僅小寫的集合進行比對來驗證子資源完整性中繼資料，即使 SRI 規格以 ASCII 小寫形式定義權杖，因此有效但非小寫的權杖 （例如大寫或混合大小寫SHA256） 會被視為未知並略過。當沒有識別的演算法保留時，undici 會將完整性清單視為空並接受回應，因此傳回不符合固定摘要的內文的伺服器會通過檢查。因此，僅控制回應內文的攻擊者可以將攻擊者控制的位元組傳遞至釘選有效大寫或混合大小寫 SRI 權杖的應用程式，而不會發生完整性錯誤，只會影響回應完整性。此問題已在 undici 7.30.1 和 8.12.2中修正，它們會在驗證前將演算法權杖正規化為 ASCII 小寫，使用者應升級至其中一個版本或更新版本。因應措施是，在完整性中繼資料中使用小寫演算法權杖，例如 sha256、sha384 或 sha512。（CVE-2026-109841）

    UNDICI 是 Node.js 的HTTP用戶端程式庫。在 、 through 7.30.0和 8.0.07.18.08.12.1through 的6.29.0版本6.23.0中，當惡意伺服器傳回具有五個以上內容編碼的回應並在傳送正文之前關閉連線時，其 fetch（） 實作會使 Node.js 進程崩潰。
    由於內容編碼限制，Undici 會拒絕這類回應，但它會在檢查之前建立內部回應資料流，並在未附加錯誤接聽程式或中止要求的情況下傳回，因此提前關閉會在孤立的資料流上顯示內容長度不相符，Node.js將其視為未處理的錯誤並終止處理程序。遠端、未經身份驗證的伺服器可以透過單一回應觸發此觸發，即使應用程式正確捕獲了 fetch（） 拒絕，從而導致拒絕服務。此問題已在 undici 6.29.1、 7.30.1和 8.12.2中修正，使用者應升級至其中一個版本或更新版本。沒有因應措施。（CVE-2026-109869）

    UNDICI 是 Node.js 的HTTP用戶端程式庫。在 、 7.0.0 和 7.30.08.0.0 透過 8.12.1的6.29.0版本6.5.0中，其 EventSource 用戶端可能會被惡意或遭入侵的伺服器傳送事件對等體驅動耗盡處理程序記憶體。藉由傳送數以百萬計的微小已完成資料欄位，且沒有空白事件分隔符號，或將單一未完成的行分割成多個區塊，剖析器會保留越來越多的每個欄位和每個區塊狀態，而位元組型 maxEventSize 和 maxResponseSize 限制不會綁定這些狀態，而且因為 maxResponseSize 是在解壓縮之前在壓縮內文上強制執行的，所以小型壓縮回應可以擴充為足夠的保留記憶體來終止處理程序。應用程式只需要維護與不受信任對等的 EventSource 連線，這只會控制回應，而可用性是唯一的影響。此問題已在 undici 6.29.1、 7.30.1和 8.12.2中修正，它們會獨立於位元組限制來繫結保留的剖析器狀態，使用者應該升級至其中一個版本或更新版本。沒有因應措施。（CVE-2026-109924）

    UNDICI 是 Node.js 的HTTP用戶端程式庫。在 、 through 和 7.0.07.30.08.0.0 through 8.12.1的6.29.0版本5.15.0中，其 WebSocket 用戶端（包括 Node.js 公開的捆綁 WebSocket）可能會被惡意或受損的 WebSocket 伺服器驅動耗盡進程記憶體。對於收到的每個 PING 幀，用戶端會自動寫入 PONG 回應並忽略來自通訊端寫入的背壓訊號，因此串流小型 PING 幀而不讀取用戶端 PONG 的伺服器會使傳出寫入佇列和堆積無限制地成長，直到 Node.js 進程記憶體耗盡並終止。此攻擊是遠端且未經驗證，只需要正常的 WebSocket 連線，而且是不對稱的，因為小型入站 PING 會產生更大的保留出站佇列，而可用性是唯一的影響。此問題已在 undici 6.29.1、 7.30.1和 8.12.2中修正，當自動 PONG 回應達到通訊端背壓並在清空時繼續時，會暫停 WebSocket 框架剖析，限制傳出佇列，而且使用者應該升級至其中一個版本或更新版本。目前沒有任何的因應措施。
    (CVE-2026-109932)

    Node.js Brotli 解碼器中的弱點可能會導致在處理特製的 Brotli 輸入時發生越界記憶體寫入。成功利用可能會導致記憶體損毀和遠端程式碼執行。
    (CVE-2026-111497)

    UNDICI 是 Node.js 的HTTP用戶端程式庫。在 、 7.0.0 和 7.30.08.0.08.12.1透過 的6.29.0版本4.2.1中，當 TLS 1.2 伺服器在建立連線後重新協商並提供主機名稱不符合要求的主機的不同 CA 信任憑證時，用戶端處理程序會當機。Node.js在重新協商的交握上重新執行主機名稱驗證，並以 certificate-altname 錯誤破壞通訊端，但 Undici 的 established-socket 錯誤處理常式斷言此錯誤代碼永遠不會發生，因此對等控制錯誤成為終止Node.js進程的未捕獲判斷提示，影響 HTTP/1.1 和 HTTP/2 路徑。透過 undici 或全域 fetch（） 到達的惡意或受損的 HTTPS 端點可以透過單一伺服器啟動的重新協商使用戶端崩潰，從而關閉過程中所有正在進行的請求和背景工作，並且利用不需要 CA 妥協，因為攻擊者控制端點並且可以提供兩個普通的有效憑證。只有 TLS 1.2 受到影響，因為 TLS 1.3 不支援重新協商。此問題已在 undici 6.29.1、 7.30.1和 8.12.2中修正，使用者應升級至其中一個版本或更新版本。因應措施是將傳出連線限制為 TLS 1.3 ，以便在目標端點支援時無法進行重新協商。（CVE-2026-87018）

    UNDICI 是 Node.js 的HTTP用戶端程式庫。在整個7.30.08.0.08.12.1版本7.15.0中，其解壓縮攔截器將解壓縮的回應資料從 zlib 串流事件回呼轉發到下游處理常式，而不會捕獲這些回呼可能拋出的異常，雖然 undici 的引擎將來自下游處理常式的同步拋出轉換為每個請求的失敗，但當拋出從 zlib 回調異步發生時，該保護就不存在了。因此，設計擲回的下游處理常式 （例如當回應超出其設定的大小上限時擲回的內建傾印攔截器） 會逸出為終止Node.js處理程序的未擷取例外狀況。惡意或受損的 HTTP 伺服器可能會傳回一個小型壓縮內文，該主體會解壓縮到超過設定的限制，從而使任何使用此類處理常式組成解壓縮攔截器的用戶端當機，因此只有解壓縮的大小才重要，並且線上的位元組保持很小。此問題已在 undici 7.30.1 和 8.12.2中修正，使用者應升級至其中一個版本或更新版本。因應措施是避免使用回應處理常式來撰寫解壓縮攔截器，回應處理常式會在回應處理期間擲回，直到升級為止。
    (CVE-2026-87029)

Tenable 已直接從所測試產品的安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

したがって、ALAS2023-2026-3330 のアドバイザリに記載されている複数の脆弱性の影響を受けます。

    Node.js HTTP Agent 処理での脆弱性により、対応するリクエストが送信される前に書き込まれた応答をキープアライブソケットが処理する可能性があります。これにより、不適切な応答の関連付けが発生し、HTTP 応答の混乱や意図しないデータの漏洩につながる可能性があります。(CVE-2026-105481)

    Node.js の脆弱性により、「dns.resolve」関数が null バイトを含むドメイン名を不適切に処理し、ドメイン名の切り捨てやホスト名の検証の一貫性がない可能性があります。これにより、ホスト名の検証に依存するアプリケーションで、意図しないドメイン名を処理できる可能性があります。この問題は、Node.js 22.x、 24.x、 26.x リリースラインに影響を与えます。脆弱性に対処するには、パッチが適用されたバージョンにアップグレードしてください。
    (CVE-2026-105482)

    TLS IP が全角数字で書かれている場合の証明書ホスト名のバイパス(https://nodejs.org/en/blog/vulnerability/october-2026-security-releases#tls-certificate-hostname-bypass-when-the-ip-is-written-fullwidth-digits-cve-2026-105483---high)(CVE-2026-105483)

    Node.js TLS 証明書のホスト名検証での脆弱性により、IP アドレスに緩やかに解決されるホスト名が、ホスト名の検証をバイパスする可能性があります。これにより、攻撃者が信頼できるエンドポイントになりすまし、中間者攻撃を促進する可能性があります。(CVE-2026-106069)

    Node.js TLS 証明書検証での脆弱性により、非標準的な IPv4 ホスト名が、証明書内の Subject Alternative Name(SAN)エントリに対して不適切に一致DNS可能性があります。これにより、DNS名に対して発行された証明書がIPエンドポイントを認証し、意図されたホスト名の検証をバイパスする可能性があります。(CVE-2026-106072)

    Node.js の脆弱性により、「crypto.randomUUID()」および「crypto.randomInt()」により使用されるエントロピーキャッシュが、ユーザーランド起動スナップショットおよび単一実行可能アプリケーション(SEA)に保存されます。その結果、同じスナップショットから初期化された複数のプロセスによって繰り返し値が生成され、ランダム性が弱まり、一意または予測不能な値に依存するセキュリティメカニズムが危険にさらされる可能性があります。(CVE-2026-106073)

    Node.js 権限モデルの脆弱性により、ファイルシステムのアクセス制限が「fs.realpathSync()」を通じてバイパスされる可能性があります。これにより、設定された権限ポリシーによって制限されているファイルシステムパスにアプリケーションがアクセスできるようになります。(CVE-2026-106074)

    undici は、Node.js 用のHTTPクライアントライブラリです。4.0.0から6.29.0、7.0.0から7.30.0、8.0.0から8.12.1のバージョンでは、エージェントディスパッチャーは、コンストラクターオプションをオリジンごとの各プールに転送する前に、JSONベースのディープクローンを通じてそれらを渡します。そして、JSONは関数を表現できないため、checkServerIdentityコールバックを含む呼び出し元指定のtlsオプションは、TLSレイヤーに到達する前に警告なしでドロップされます。その結果、証明書がカスタムcheckServerIdentityによって拒否されるように書き込まれたものの、Nodeのデフォルトのホスト名とチェーンチェックに合格するTLSピアは、密かに受け入れられます。Agent は、request、fetch、および setGlobalDispatcher の背後にあるデフォルトのディスパッチャーであるため、これは多くのアプリケーションが使用するパスに影響を与え、EnvHttpProxyAgent はそのダイレクトおよび非プロキシルートでも影響を受けますが、証明書または公開鍵ピンニング用のカスタム checkServerIdentity などの関数値の tls オプションを渡すアプリケーションのみがリスクにさらされます。undici 6.29.1、 7.30.1、および 8.12.2 でこの問題は修正されています。これらは JSON クローンの外部に tls オプションを保持しているため、カスタム検証コールバックは変更されずに転送されるため、ユーザーはこれらのバージョンのいずれか以降にアップグレードする必要があります。回避策として、TLS オプションを tls の代わりに接続から渡すか、プロキシされた宛先に requestTls と proxyTls を使用します。(CVE-2026-109383)

    undici は、Node.js 用のHTTPクライアントライブラリです。7.0.0から7.30.0、8.0.0から8.12.1までのバージョンでは、オリジンレスエージェントが共有キャッシュストアを使用してリダイレクトとキャッシュインターセプタをその順序で構成すると、リダイレクトハンドラーがオリジンを変更する前にキャッシュが元のリクエストURLからキーを構築するため、クロスオリジンリダイレクトの後に生成される応答は元のキーの下に保存されます。信頼できるURLからのリダイレクトのターゲットを制御する攻撃者は、応答をその信頼できるURLにキャッシュさせ、その後の呼び出し元に提供できるため、持続型キャッシュポイズニングが可能になります。また、同じキーの取り違えにより、ユーザー固有のリソースへのプライベートで保存されていないリダイレクト応答が元のURLに保存され、その後認証されていない呼び出し元に提供される可能性があります。 プライベートデータの漏洩。アプリケーションが影響を受けるのは、オリジンレスエージェント、共有キャッシュストア、およびリダイレクト、その後キャッシュの構成がすべて使用される場合のみです。この問題は undici 7.30.1 および 8.12.2 で修正され、生成元が依然としてキャッシュキーと一致し、保存前に各リダイレクトホップのキャッシュ制御ポリシーを保持していることが検証されるため、ユーザーはこれらのバージョンのいずれか以降にアップグレードする必要があります。回避策として、リダイレクトインターセプタの前にキャッシュインターセプタを構成する、オリジンごとのディスパッチャーとキャッシュストアを使用する、またはリダイレクト可能リクエストの共有キャッシングを無効にすることです。
    (CVE-2026-109829)

    undici は、Node.js 用のHTTPクライアントライブラリです。7.15.0から7.30.0、8.0.0から8.12.1までのバージョンでは、SRI仕様がASCII小文字の形式でトークンを定義している場合でも、そのfetch()実装はアルゴリズムトークンを小文字のみのセットと照合することでSubresource Integrityメタデータを検証します。そのため、大文字または混合SHA256など、有効だが小文字でないトークンは不明として扱われ、スキップされます。認識されたアルゴリズムが残っていない場合、undici は整合性リストを空として扱い、応答を受け入れます。このため、固定されたダイジェストと一致しない本文を返すサーバーは、チェックをパスします。応答本文のみを制御する攻撃者が、攻撃者が制御するバイトを、整合性エラーなしに有効な大文字または混合の SRI トークンをピン留めしたアプリケーションに配信でき、応答の整合性にのみ影響を与えます。undici 7.30.1 および 8.12.2 でこの問題は修正されています。これらは、検証前にアルゴリズムトークンを ASCII 小文字に正規化するため、ユーザーはこれらのバージョンのいずれか以降にアップグレードする必要があります。回避策として、整合性メタデータには sha256、sha384、sha512 などの小文字のアルゴリズムトークンを使用します。(CVE-2026-109841)

    undici は、Node.js 用のHTTPクライアントライブラリです。6.23.0 から 6.29.0、7.18.0 から 7.30.0、8.0.0 から 8.12.1 までのバージョンにおいて、その fetch() 実装により、悪意のあるサーバーが 5 つ以上のコンテンツコーディングを含む応答を返し、本文を送信する前に接続を閉じると、その fetch() 実装によって Node.js プロセスがクラッシュします。
    Undici は、コンテンツエンコーディングの制限によりこうした応答を拒否しますが、そのチェックの前に内部応答ストリームを作成し、エラーリスナーを添付したりリクエストを中止したりせずに返します。そのため、早期クローズにより、孤立したストリームでコンテンツ長の不一致が表面化します。これは、Node.js処理されないエラーとして扱われ、プロセスを終了します。認証されていないリモートのサーバーが、アプリケーションが fetch() の拒否を適切にキャッチした場合でも、単一の応答でこれをトリガーし、サービス拒否を引き起こす可能性があります。この問題は undici 6.29.1、 7.30.1、 8.12.2 で修正されており、ユーザーはこれらのバージョンのいずれか以降にアップグレードする必要があります。回避策はありません。(CVE-2026-109869)

    undici は、Node.js 用のHTTPクライアントライブラリです。6.5.0から6.29.0、7.0.0から7.30.0、8.0.0から8.12.1のバージョンでは、悪意のある、または危険にさらされたサーバーが送信したイベントのピアにより、EventSourceクライアントにプロセスメモリを使い果たす可能性があります。空白のイベントセパレーターがない数百万の小さな完成済みデータフィールド、あるいは多数のチャンクにまたがって分割された単一の未完成の行を送信することにより、パーサーは、バイトベースの maxEventSize と maxResponseSize の制限が制限しない、フィールドごとおよびチャンクごとの状態をより多く保持します。また、maxResponseSize は展開前に圧縮された本文で強制されるため、小さな圧縮応答が、プロセスを終了するのに十分な保持メモリに拡張する可能性があります。アプリケーションは、応答のみを制御する信頼できないピアへのEventSource接続を維持するだけで済み、可用性のみが影響を受けます。この問題は、undici 6.29.1、 7.30.1、 8.12.2 で修正されています。この問題は、バイト制限とは無関係に、保持されたパーサーの状態を拘束しているため、ユーザーはこれらのバージョンのいずれか以降にアップグレードする必要があります。回避策はありません。(CVE-2026-109924)

    undici は、Node.js 用のHTTPクライアントライブラリです。5.15.0 から 6.29.0、7.0.0 から 7.30.0、8.0.0 から 8.12.1 のバージョンでは、Node.js によって公開されたバンドル化された WebSocket を含むその WebSocket クライアントが、悪意のある、または危険にさらされている WebSocket サーバーによって、プロセスメモリを使い果たすように駆動される可能性があります。受信した PING フレームごとに、クライアントは自動的に PONG 応答を書き込み、ソケット書き込みからのバックプレッシャー信号を無視します。このため、クライアントの PONG を決して読み取らずに小さな PING フレームをストリームするサーバーは、Node.js プロセスがメモリを使い果たして終了するまで、アウトバウンド書き込みキューとヒープを制限なく増やします。この攻撃はリモートで認証されておらず、通常のWebSocket接続のみが必要であり、また非対称です。これは、小さなインバウンドPINGがはるかに大きな保持アウトバウンドキューを生成し、可用性のみが影響を及ぼすためです。この問題は undici 6.29.1、 7.30.1、および 8.12.2 で修正されています。これらは、自動 PONG 応答がソケットバックプレッシャーに達すると WebSocket フレーム解析を一時停止し、排出キューをバウンドすることで再開するため、ユーザーはこれらのバージョンのいずれか以降にアップグレードする必要があります。回避策はありません。
    (CVE-2026-109932)

    Node.js Brotli デコーダーでの脆弱性により、細工された Brotli 入力を処理する際に、領域外メモリ書き込みが引き起こされる可能性があります。悪用に成功すると、メモリ破損やリモートコードの実行が引き起こされる可能性があります。
    (CVE-2026-111497)

    undici は、Node.js 用のHTTPクライアントライブラリです。4.2.1 から 6.29.0、7.0.0 から 7.30.0、8.0.0 から 8.12.1 のバージョンでは、TLS 1.2 サーバーが接続の確立後に再ネゴシエーションを行い、リクエストされたホストとホスト名が一致しない別のCA信頼できる証明書を提示すると、クライアントプロセスがクラッシュします。Node.js は、再ネゴシエートされたハンドシェイクでホスト名の検証を再実行し、Certificate-AltName エラーでソケットを破壊します。しかし、Undici の established-socket エラーハンドラーは、このエラーコードは決して発生し得ないと断言したため、ピア制御のエラーは、Node.js プロセスを終了する捕捉されないアサーションとなり、HTTP/1.1 パスと HTTP/2 パスの両方に影響を与えます。undici またはグローバル fetch() を通じて到達した悪意のある、または危険にさらされている HTTPS エンドポイントは、サーバー主導の単一の再ネゴシエーションでクライアントをクラッシュさせることができ、そのプロセスでのすべてのインフライト中のリクエストとバックグラウンド作業が停止されます。また、攻撃者はエンドポイントをコントロールし、通常の有効な証明書を 2 つ提示できるため、悪用に CA の危険にさらす必要はありません。TLS1.3は再ネゴシエーションをサポートしていないため、影響を受けるのはTLS1.2のみです。この問題は undici 6.29.1、 7.30.1、 8.12.2 で修正されており、ユーザーはこれらのバージョンのいずれか以降にアップグレードする必要があります。回避策として、TLS 1.3 へのアウトバウンド接続を制限して、ターゲットのエンドポイントがサポートしているときに再ネゴシエーションが起こらないようにします。(CVE-2026-87018)

    undici は、Node.js 用のHTTPクライアントライブラリです。7.15.0から7.30.0まで、8.0.0から8.12.1までのバージョンでは、その展開インターセプタは、これらのコールバックがスローする可能性のある例外をキャッチせずに、zlibストリームイベントコールバックから展開された応答データをダウンストリームハンドラーに転送します。undiciのエンジンは、ダウンストリームハンドラーからの同期スローをリクエストごとの失敗に変換しますが、スローがzlibコールバックから非同期に発生する場合、そのような保護は存在しません。結果として、応答が構成された最大サイズを超えたときにスローする内蔵ダンプインターセプタなど、設計によりスローするダウンストリームハンドラーは、Node.jsプロセスを終了させる捕捉されない例外としてエスケープします。悪意のある、または感染した HTTP サーバーが、構成された制限を超えて展開する小さな圧縮本体を返すことによって、このようなハンドラーを持つ展開インターセプタを構成するクライアントをクラッシュさせる可能性があります。このため、展開されたサイズだけが重要で、ワイヤ上のバイトは小さく残ります。この問題は undici 7.30.1 および 8.12.2 で修正されており、ユーザーはこれらのバージョンのいずれか以降にアップグレードする必要があります。回避策として、アップグレードまで応答処理中にスローする応答ハンドラーと展開インターセプタを構成しないようにしてください。
    (CVE-2026-87029)

Tenable は、前述の記述ブロックをテスト済み製品のセキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

因此，该软件受到 ALAS2023-2026-3330 公告中提及的多个漏洞影响。

    HTTP 代理处理Node.js漏洞允许保持活动的套接字处理在发送相应请求之前写入的响应。这可能导致错误的响应关联，并可能导致 HTTP 响应混淆或意外数据泄露。（CVE-2026-105481）

    Node.js 中的漏洞允许“dns.resolve”函数错误处理包含空字节的域名，从而可能造成域名截断和主机名验证不一致。这可允许依赖主机名验证的应用程序处理非预期域名。该问题影响 Node.js 22.x、 24.x和 26.x 版本行。升级到修补版本以解决漏洞。
    (CVE-2026-105482)

    将 IP 写入全角数字 （https://nodejs.org/en/blog/vulnerability/october-2026-security-releases#tls-certificate-hostname-bypass-when-the-ip-is-written-fullwidth-digits-cve-2026-105483---high） （CVE-2026-105483） 时，存在 TLS 证书主机名绕过

    Node.js TLS 证书主机名验证中的漏洞允许松散解析为 IP 地址的主机名绕过主机名验证。这可使攻击者冒充受信任的端点，并可能促进中间人攻击。（CVE-2026-106069）

    Node.js TLS 证书验证中的漏洞允许将非规范 IPv4 主机名与证书中的 DNS 主题备用名称 （SAN） 条目错误匹配。这可能允许针对 DNS 名称颁发的证书认证 IP 端点，从而绕过预期主机名验证。（CVE-2026-106072）

    Node.js 中的漏洞造成“crypto.randomUUID（）”和“crypto.randomInt（）”使用的熵缓存在用户空间启动快照和单一可执行应用程序 （SEA） 中得以保留。因此，从同一快照初始化的多个进程可能会生成重复值，从而削弱随机性并可能危及依赖唯一或不可预测值的安全机制。（CVE-2026-106073）

    Node.js 权限模型中的漏洞允许通过“fs.realpathSync（）”绕过文件系统访问限制。这可让应用程序访问应受到已配置权限策略限制的文件系统路径。（CVE-2026-106074）

    undici 是用于 Node.js 的 HTTP 客户端库。在 到 6.29.0到 7.0.07.30.0的8.0.08.12.1版本4.0.0中，其代理调度程序在将构造函数选项转发到每个各源池之前，通过基于 JSON 的深层克隆传递其构造函数选项，并且由于 JSON 无法表示函数，因此包含 checkServerIdentity 回调的调用程序提供的 tls 选项在到达 TLS 层之前会静默终止。因此，静默接受其自定义 checkServerIdentity 写入要拒绝的证书，但却通过 Node 的默认主机名和链检查的 TLS 对等机。由于 Agent 是 request、fetch 和 setGlobalDispatcher 背后的默认调度程序，这会影响大多数应用程序使用的路径，并且 EnvHttpProxyAgent 也在其直接和非代理路由上受到影响，而只有传递函数值 tls 选项（例如用于证书或公钥固定的自定义 checkServerIdentity）的应用程序面临风险。undici 6.29.1、 7.30.1和 8.12.2中已修复此问题，其在 JSON 克隆外部保留了 tls 选项，因此自定义验证回调会原样转发，用户应升级到其中一个版本或更高版本。变通方案是通过连接而非 TLS 传递 TLS 选项，或对于代理目的地使用 requestTls 和 proxyTls。（CVE-2026-109383）

    undici 是用于 Node.js 的 HTTP 客户端库。在 7.0.0 版本中 7.30.08.0.08.12.1，当无源代理使用共享缓存存储按该顺序组合重定向和缓存拦截器时，缓存会在重定向处理程序更改源之前从原始请求 URL 构建其密钥，因此跨源重定向后产生的响应存储在原始密钥下。控制来自受信任 URL 的重定向目标的攻击者可将其响应缓存在受信任的 URL 下并提供给之后的调用者，从而导致持久性缓存中毒，而同一密钥混淆会将对用户特定资源的私密非存储重定向响应存储在原始 URL 下，并提供给之后未经认证的调用程序， 泄露私人数据。仅当使用了无源代理、共享缓存存储以及重定向然后缓存组合时，应用程序才受到影响。undici 7.30.1 和 8.12.2中已修复此问题，其验证生产源在存储前仍匹配缓存密钥并保留每个重定向跃点的缓存控制策略，用户应升级到其中一个版本或更高版本。变通方案是，在重定向拦截器之前构建缓存拦截器、使用各源调度程序和缓存存储，或针对可重定向的请求禁用共享缓存。
    (CVE-2026-109829)

    undici 是用于 Node.js 的 HTTP 客户端库。在一直到7.30.08.0.0版本8.12.1中7.15.0，其 fetch（） 实现通过将算法标记与仅小写的集合进行匹配来验证子资源完整性元数据，即使 SRI 规范通过其 ASCII 小写形式定义标记，因此有效但非小写的标记（例如大写或混合大小写SHA256）将被视为未知并跳过。当没有任何被识别的算法时，undici 会将完整性列表视为空并接受响应，如此一来，返回与固定摘要不匹配的正文的服务器便可通过检查。因此，仅控制响应正文的攻击者可将攻击者控制的字节传递至固定了有效大写或混合大小写 SRI 标记的应用程序，不会出现不存在完整性错误，只会影响响应完整性。undici 7.30.1 和 8.12.2中已修复此问题，其在验证前将算法标记规范化为 ASCII 小写，用户应升级到这些版本中的其中一个或更高版本。作为变通方案，可在完整性元数据中使用小写算法标记，例如 sha256、sha384 或 sha512。（CVE-2026-109841）

    undici 是用于 Node.js 的 HTTP 客户端库。在 到 6.29.0到 7.18.07.30.0的8.0.08.12.1版本6.23.0中，当恶意服务器返回包含五个以上内容编码的响应时，其 fetch（） 实现会使Node.js进程崩溃，并在发送正文之前关闭连接。
    由于内容编码限制，Undici 拒绝此类响应，但它在该检查前创建了内部响应流并在未附加错误监听器或中止请求的情况下返回，因此过早关闭会在孤立流上显示内容长度不匹配，Node.js将其视为未处理的错误并终止进程。即使应用程序正确地捕获到 fetch（） 拒绝，未经认证的远程服务器也可通过单一响应触发此漏洞，从而导致拒绝服务。undici 6.29.1、 7.30.1和 8.12.2中已修复此问题，用户应升级到这些版本中的其中一个或更高版本。目前尚无变通方案。（CVE-2026-109869）

    undici 是用于 Node.js 的 HTTP 客户端库。在 到 6.29.0到 7.0.07.30.0到 8.0.08.12.1的版本6.5.0中，其 EventSource 客户端可遭恶意或遭到破坏的 Server-Sent Events 对等机的驱动，耗尽进程内存。通过发送数百万个没有空白事件分隔符的微小已完成数据字段，或者将单个未完成行拆分为许多区块，解析器会保留越来越多的每个字段和每个区块状态，即基于字节的 maxEventSize 和 maxResponseSize 限制未限制这些状态，并且由于在解压缩之前在压缩正文上强制执行 maxResponseSize，因此小型压缩响应可以扩展到足够的保留内存来终止进程。应用程序只需要维护与不受信任的对等方的 EventSource 连接，该对等方仅控制响应，而可用性是唯一的影响。undici 6.29.1、 7.30.1和 8.12.2中已修复此问题，其独立于字节限制限制限制保留的解析器状态，用户应升级到其中一个版本或更高版本。目前尚无变通方案。（CVE-2026-109924）

    undici 是用于 Node.js 的 HTTP 客户端库。在 到 6.29.0到 8.12.18.0.07.30.07.0.0 的版本5.15.0中，其 WebSocket 客户端（包括 Node.js 暴露的捆绑的 WebSocket）可被恶意或遭到破坏的 WebSocket 服务器驱动耗尽进程内存。对于接收到的每个 PING 帧，客户端会自动写入 PONG 响应并忽略来自套接字写入的背压信号，因此，在从不读取客户端 PONG 的情况式传输小 PING 帧的服务器会使出站写入队列和堆无限增长，直到 Node.js 进程耗尽内存并终止。该攻击是远程且未经身份验证的，只需要正常的 WebSocket 连接，并且是非对称的，因为小的入站 PING 会产生更大的保留出站队列，可用性是唯一的影响。undici 6.29.1、 7.30.1和 8.12.2中已修复此问题，其会在自动 PONG 响应达到套接字背压时暂停 WebSocket 帧解析，并在耗尽时恢复，从而限制出站队列，用户应升级至其中一个版本或更高版本。目前尚无变通方案。
    (CVE-2026-109932)

    Node.js Brotli 解码器中的漏洞可在处理构建的 Brotli 输入时导致越界内存写入。成功利用可导致内存损坏和远程代码执行。
    (CVE-2026-111497)

    undici 是用于 Node.js 的 HTTP 客户端库。在 到 6.29.0到 8.0.08.12.17.0.07.30.0的版本4.2.1中，当 TLS 1.2 服务器在建立连接后重新协商并提供主机名与请求的主机不匹配的、经 CA 信任的不同证书时，客户端进程会崩溃。Node.js对重新协商的握手重新运行主机名验证并破坏包含 certificate-altname 错误的套接字，但 Undici 的 established-socket 错误处理程序断言此错误代码永远不会发生，因此对等控制的错误变成了终止 Node.js 进程的未捕获断言，从而影响 HTTP/1.1 和 HTTP/2 路径。通过 undici 或全局 fetch（） 到达的恶意或遭到破坏的 HTTPS 端点可以通过单个服务器发起的重新协商造成客户端崩溃，从而中断进程中的所有正在传输的请求和后台工作，并且由于攻击者控制端点并可以提供两个普通有效证书，因此利用无需 CA 妥协。仅 TLS 1.2 受到影响，因为 TLS 1.3 不支持重新协商。undici 6.29.1、 7.30.1和 8.12.2中已修复此问题，用户应升级到这些版本中的其中一个或更高版本。变通方案是限制到 TLS 1.3 的出站连接，以便在目标端点支持重新协商时无法进行重新协商。（CVE-2026-87018）

    undici 是用于 Node.js 的 HTTP 客户端库。在版本和7.30.08.0.0版本中7.15.08.12.1，其解压缩拦截器将解压缩的响应数据从 zlib 流事件回调转发到下游处理程序，而不捕获这些回调可能抛出的异常，尽管 undici 的引擎将来自下游处理程序的同步抛出转换为按请求失败，但当从 zlib 回调异步发生抛出时，该保护不存在。因此，按设计抛出的下游处理程序（如在响应超过其配置的最大大小时抛出的内置转储拦截器）会作为终止Node.js进程的未捕获异常转义。恶意或遭到破坏的 HTTP 服务器可返回一个小的压缩正文，该主体会解压缩到超过配置的限制，进而造成任何使用此类处理程序组成解压缩拦截器的客户端崩溃，因此只有解压缩的大小很重要，而线路上的字节仍然很小。undici 7.30.1 和 8.12.2中已修复此问题，用户应升级到这些版本中的其中一个或更高版本。作为变通方案，在升级之前，避免使用在响应处理期间抛出的响应处理程序来构建解压缩拦截器。
    (CVE-2026-87029)

Tenable 已直接从测试产品的安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - undici は、Node.js 用の HTTP クライアントライブラリです。7.15.0から7.30.0まで、8.0.0から8.12.1までのバージョンでは、その展開インターセプタは、これらのコールバックがスローする可能性のある例外をキャッチせずに、zlibストリームイベントコールバックから展開された応答データをダウンストリームハンドラーに転送します。undiciのエンジンは、ダウンストリームハンドラーからの同期スローをリクエストごとの失敗に変換しますが、スローがzlibコールバックから非同期に発生する場合、そのような保護は存在しません。結果として、応答が構成された最大サイズを超えたときにスローする内蔵ダンプインターセプタなど、設計によりスローするダウンストリームハンドラーは、Node.jsプロセスを終了させる捕捉されない例外としてエスケープします。悪意のある、または感染した HTTP サーバーが、構成された制限を超えて展開する小さな圧縮本体を返すことによって、このようなハンドラーを持つ展開インターセプタを構成するクライアントをクラッシュさせる可能性があります。このため、展開されたサイズだけが重要で、ワイヤ上のバイトは小さく残ります。この問題は undici 7.30.1 および 8.12.2 で修正されており、ユーザーはこれらのバージョンのいずれか以降にアップグレードする必要があります。回避策として、アップグレードまで応答処理中にスローする応答ハンドラーと展開インターセプタを構成しないようにしてください。
    (CVE-2026-87029)

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - undici 是用于 Node.js 的 HTTP 客户端库。在版本和7.30.08.0.0版本中7.15.08.12.1，其解压缩拦截器将解压缩的响应数据从 zlib 流事件回调转发到下游处理程序，而不捕获这些回调可能抛出的异常，尽管 undici 的引擎将来自下游处理程序的同步抛出转换为按请求失败，但当从 zlib 回调异步发生抛出时，该保护不存在。因此，按设计抛出的下游处理程序（如在响应超过其配置的最大大小时抛出的内置转储拦截器）会作为终止Node.js进程的未捕获异常转义。恶意或遭到破坏的 HTTP 服务器可返回一个小的压缩正文，该主体会解压缩到超过配置的限制，进而造成任何使用此类处理程序组成解压缩拦截器的客户端崩溃，因此只有解压缩的大小很重要，而线路上的字节仍然很小。undici 7.30.1 和 8.12.2中已修复此问题，用户应升级到这些版本中的其中一个或更高版本。作为变通方案，在升级之前，避免使用在响应处理期间抛出的响应处理程序来构建解压缩拦截器。
    (CVE-2026-87029)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

It is, therefore, affected by multiple vulnerabilities as referenced in the ALAS2023-2026-3330 advisory.

    A vulnerability in Node.js HTTP Agent handling allows a keep-alive socket to process a response that was     written before the corresponding request was sent. This may cause incorrect response association and     potentially lead to HTTP response confusion or unintended data exposure. (CVE-2026-105481)

    A vulnerability in Node.js allows the `dns.resolve` function to improperly handle domain names containing     null bytes, potentially causing domain name truncation and inconsistent hostname validation. This could     allow applications relying on hostname validation to process unintended domain names. The issue affects     Node.js 22.x, 24.x, and 26.x release lines. Upgrade to a patched version to address the vulnerability.
    (CVE-2026-105482)

    TLS certificate hostname bypass when the IP is written fullwidth digits     (https://nodejs.org/en/blog/vulnerability/october-2026-security-releases#tls-certificate-hostname-bypass-     when-the-ip-is-written-fullwidth-digits-cve-2026-105483---high) (CVE-2026-105483)

    A vulnerability in Node.js TLS certificate hostname validation allows a hostname that loosely resolves to     an IP address to bypass hostname verification. This may enable an attacker to impersonate a trusted     endpoint and potentially facilitate man-in-the-middle attacks. (CVE-2026-106069)

    A vulnerability in Node.js TLS certificate validation allows non-canonical IPv4 hostnames to be     incorrectly matched against DNS Subject Alternative Name (SAN) entries in certificates. This may allow a     certificate issued for a DNS name to authenticate an IP endpoint, potentially bypassing intended hostname     validation. (CVE-2026-106072)

    A vulnerability in Node.js causes the entropy caches used by `crypto.randomUUID()` and     `crypto.randomInt()` to be preserved in user-land startup snapshots and Single Executable Applications     (SEAs). As a result, multiple processes initialized from the same snapshot may generate repeated values,     weakening randomness and potentially compromising security mechanisms that rely on unique or unpredictable     values. (CVE-2026-106073)

    A vulnerability in the Node.js Permission Model allows filesystem access restrictions to be bypassed     through `fs.realpathSync()`. This may enable an application to access filesystem paths that should be     restricted by the configured permission policies. (CVE-2026-106074)

    undici is an HTTP client library for Node.js. In versions 4.0.0 through 6.29.0, 7.0.0 through 7.30.0, and     8.0.0 through 8.12.1, its Agent dispatcher passes its constructor options through a JSON-based deep clone     before forwarding them to each per-origin pool, and because JSON cannot represent functions, a caller-     supplied tls option containing a checkServerIdentity callback is silently dropped before it reaches the     TLS layer. As a result, a TLS peer whose certificate a custom checkServerIdentity was written to reject,     but which passes Node's default hostname and chain checks, is silently accepted. Because Agent is the     default dispatcher behind request, fetch, and setGlobalDispatcher, this affects the path most applications     use, and EnvHttpProxyAgent is affected on its direct and no-proxy routes as well, while only applications     that pass a function-valued tls option such as a custom checkServerIdentity for certificate or public-key     pinning are at risk. The issue is fixed in undici 6.29.1, 7.30.1, and 8.12.2, which preserve the tls     option outside the JSON clone so custom verification callbacks are forwarded unchanged, and users should     upgrade to one of those versions or later. As a workaround, pass the TLS options through connect instead     of tls, or for proxied destinations use requestTls and proxyTls. (CVE-2026-109383)

    undici is an HTTP client library for Node.js. In versions 7.0.0 through 7.30.0 and 8.0.0 through 8.12.1,     when an originless Agent composes the redirect and cache interceptors in that order with a shared cache     store, the cache builds its key from the original request URL before the redirect handler changes the     origin, so a response produced after a cross-origin redirect is stored under the original key. An attacker     who controls the target of a redirect from a trusted URL can have their response cached under that trusted     URL and served to later callers, allowing persistent cache poisoning, and the same key confusion lets a     private, non-stored redirect response to a user-specific resource be stored under the original URL and     served to a later unauthenticated caller, disclosing private data. Applications are affected only when an     originless Agent, a shared cache store, and the redirect-then-cache composition are all used. The issue is     fixed in undici 7.30.1 and 8.12.2, which verify the producing origin still matches the cache key and     preserve each redirect hop's cache-control policy before storing, and users should upgrade to one of those     versions or later. As a workaround, compose the cache interceptor before the redirect interceptor, use     per-origin dispatchers and cache stores, or disable shared caching on redirect-capable requests.
    (CVE-2026-109829)

    undici is an HTTP client library for Node.js. In versions 7.15.0 through 7.30.0 and 8.0.0 through 8.12.1,     its fetch() implementation verifies Subresource Integrity metadata by matching the algorithm token against     a lowercase-only set, even though the SRI specification defines the token by its ASCII-lowercase form, so     a valid but non-lowercase token such as an uppercase or mixed-case SHA256 is treated as unknown and     skipped. When no recognized algorithm remains, undici treats the integrity list as empty and accepts the     response, so a server returning a body that does not match the pinned digest passes the check. An attacker     who controls only the response body can therefore deliver attacker-controlled bytes to an application that     pinned a valid uppercase or mixed-case SRI token, with no integrity error, affecting response integrity     only. The issue is fixed in undici 7.30.1 and 8.12.2, which normalize the algorithm token to ASCII     lowercase before validation, and users should upgrade to one of those versions or later. As a workaround,     use lowercase algorithm tokens such as sha256, sha384, or sha512 in integrity metadata. (CVE-2026-109841)

    undici is an HTTP client library for Node.js. In versions 6.23.0 through 6.29.0, 7.18.0 through 7.30.0,     and 8.0.0 through 8.12.1, its fetch() implementation crashes the Node.js process when a malicious server     returns a response with more than five content codings and closes the connection before sending the body.
    undici rejects such responses because of a content-encoding limit, but it created the internal response     stream before that check and returned without attaching an error listener or aborting the request, so the     early close surfaces a content-length mismatch on the orphaned stream, which Node.js treats as an     unhandled error and terminates the process. A remote, unauthenticated server can trigger this with a     single response, even when the application correctly catches the fetch() rejection, resulting in a denial     of service. The issue is fixed in undici 6.29.1, 7.30.1, and 8.12.2, and users should upgrade to one of     those versions or later. There is no workaround. (CVE-2026-109869)

    undici is an HTTP client library for Node.js. In versions 6.5.0 through 6.29.0, 7.0.0 through 7.30.0, and     8.0.0 through 8.12.1, its EventSource client can be driven to exhaust process memory by a malicious or     compromised Server-Sent Events peer. By sending millions of tiny completed data fields with no blank event     separator, or a single unfinished line split across many chunks, the parser retains a growing amount of     per-field and per-chunk state that the byte-based maxEventSize and maxResponseSize limits do not bound,     and because maxResponseSize is enforced on the compressed body before decompression, a small compressed     response can expand into enough retained memory to terminate the process. An application only needs to     maintain an EventSource connection to an untrusted peer, which controls only the response, and     availability is the only impact. The issue is fixed in undici 6.29.1, 7.30.1, and 8.12.2, which bound the     retained parser state independently of the byte limits, and users should upgrade to one of those versions     or later. There is no workaround. (CVE-2026-109924)

    undici is an HTTP client library for Node.js. In versions 5.15.0 through 6.29.0, 7.0.0 through 7.30.0, and     8.0.0 through 8.12.1, its WebSocket client, including the bundled WebSocket exposed by Node.js, can be     driven to exhaust process memory by a malicious or compromised WebSocket server. For every PING frame     received, the client automatically writes a PONG response and ignores the backpressure signal from the     socket write, so a server that streams small PING frames while never reading the client's PONGs makes the     outbound write queue and heap grow without bound until the Node.js process runs out of memory and     terminates. The attack is remote and unauthenticated, needs only a normal WebSocket connection, and is     asymmetric, since small inbound PINGs produce a much larger retained outbound queue, with availability the     only impact. The issue is fixed in undici 6.29.1, 7.30.1, and 8.12.2, which pause WebSocket frame parsing     when the automatic PONG response hits socket backpressure and resume on drain, bounding the outbound     queue, and users should upgrade to one of those versions or later. There is no workaround.
    (CVE-2026-109932)

    A vulnerability in the Node.js Brotli decoder can result in an out-of-bounds memory write when processing     crafted Brotli input. Successful exploitation may lead to memory corruption and remote code execution.
    (CVE-2026-111497)

    undici is an HTTP client library for Node.js. In versions 4.2.1 through 6.29.0, 7.0.0 through 7.30.0, and     8.0.0 through 8.12.1, the client process crashes when a TLS 1.2 server renegotiates after the connection     is established and presents a different, CA-trusted certificate whose hostname does not match the     requested host. Node.js re-runs hostname verification on the renegotiated handshake and destroys the     socket with a certificate-altname error, but undici's established-socket error handler asserted that this     error code could never occur, so the peer-controlled error became an uncaught assertion that terminates     the Node.js process, affecting both the HTTP/1.1 and HTTP/2 paths. A malicious or compromised HTTPS     endpoint reached through undici or the global fetch() can crash the client with a single server-initiated     renegotiation, taking down all in-flight requests and background work in the process, and exploitation     needs no CA compromise because the attacker controls the endpoint and can present two ordinary valid     certificates. Only TLS 1.2 is affected, since TLS 1.3 does not support renegotiation. The issue is fixed     in undici 6.29.1, 7.30.1, and 8.12.2, and users should upgrade to one of those versions or later. As a     workaround, restrict outbound connections to TLS 1.3 so renegotiation cannot occur, when the target     endpoints support it. (CVE-2026-87018)

    undici is an HTTP client library for Node.js. In versions 7.15.0 through 7.30.0 and 8.0.0 through 8.12.1,     its decompress interceptor forwards decompressed response data to the downstream handler from zlib stream     event callbacks without catching exceptions those callbacks may throw, and while undici's engine converts     a synchronous throw from a downstream handler into a per-request failure, that protection is absent when     the throw happens asynchronously from a zlib callback. As a result, a downstream handler that throws by     design, such as the built-in dump interceptor which throws when a response exceeds its configured maximum     size, escapes as an uncaught exception that terminates the Node.js process. A malicious or compromised     HTTP server can crash any client that composes the decompress interceptor with such a handler by returning     a small compressed body that decompresses to more than the configured limit, so only the decompressed size     matters and the bytes on the wire stay tiny. The issue is fixed in undici 7.30.1 and 8.12.2, and users     should upgrade to one of those versions or later. As a workaround, avoid composing the decompress     interceptor with a response handler that throws during response processing until upgrading.
    (CVE-2026-87029)

Tenable has extracted the preceding description block directly from the tested product security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

The Linux/Unix host has one or more packages installed that are impacted by a vulnerability without a vendor supplied patch available.

  - undici is an HTTP client library for Node.js. In versions 7.15.0 through 7.30.0 and 8.0.0 through 8.12.1,     its decompress interceptor forwards decompressed response data to the downstream handler from zlib stream     event callbacks without catching exceptions those callbacks may throw, and while undici's engine converts     a synchronous throw from a downstream handler into a per-request failure, that protection is absent when     the throw happens asynchronously from a zlib callback. As a result, a downstream handler that throws by     design, such as the built-in dump interceptor which throws when a response exceeds its configured maximum     size, escapes as an uncaught exception that terminates the Node.js process. A malicious or compromised     HTTP server can crash any client that composes the decompress interceptor with such a handler by returning     a small compressed body that decompresses to more than the configured limit, so only the decompressed size     matters and the bytes on the wire stay tiny. The issue is fixed in undici 7.30.1 and 8.12.2, and users     should upgrade to one of those versions or later. As a workaround, avoid composing the decompress     interceptor with a response handler that throws during response processing until upgrading.
    (CVE-2026-87029)

Note that Nessus relies on the presence of the package as reported by the vendor.

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
477582	SCA: security update for undici (GHSA-55wc-3pg8-jfw6)	Tenable Cloud Security	SCA Checks	2026/10/27	2026/10/27	high
477510	Chainguard: node-gyp: security update to 13.1.0-r1	Tenable Self-Hosted Container Security	Chainguard Local Security Checks	2026/10/27	2026/10/29	high
477582	SCA: security update for undici (GHSA-55wc-3pg8-jfw6)	Tenable Self-Hosted Container Security	SCA Checks	2026/10/27	2026/10/27	high
477510	Chainguard: node-gyp: security update to 13.1.0-r1	Tenable Cloud Security	Chainguard Local Security Checks	2026/10/27	2026/10/29	high
366366	Linux Distros 未修補弱點：CVE-2026-87029	Nessus	Misc.	2026/10/16	2026/11/6	high
371866	Amazon Linux 2023：nodejs24、nodejs24-devel、nodejs24-full-i18n (ALAS2023-2026-3330)	Nessus	Amazon Linux Local Security Checks	2026/10/25	2026/10/30	critical
371866	Amazon Linux 2023 : nodejs24、nodejs24-devel、nodejs24-full-i18n (ALAS2023-2026-3330)	Nessus	Amazon Linux Local Security Checks	2026/10/25	2026/10/30	critical
371866	Amazon Linux 2023 : nodejs24、nodejs24-devel、nodejs24-full-i18n (ALAS2023-2026-3330)	Nessus	Amazon Linux Local Security Checks	2026/10/25	2026/10/30	critical
366366	Linux Distros のパッチ未適用の脆弱性: CVE-2026-87029	Nessus	Misc.	2026/10/16	2026/11/6	high
366366	Linux Distros 未修补的漏洞：CVE-2026-87029	Nessus	Misc.	2026/10/16	2026/11/6	high
371866	Amazon Linux 2023 : nodejs24, nodejs24-devel, nodejs24-full-i18n (ALAS2023-2026-3330)	Nessus	Amazon Linux Local Security Checks	2026/10/25	2026/10/30	critical
366366	Linux Distros Unpatched Vulnerability : CVE-2026-87029	Nessus	Misc.	2026/10/16	2026/11/6	high

检测

插件搜索

high

high

high

high

high

critical

critical

critical

high

high

critical

high