遠端主機上安裝的 Node.js 版本早於 18.20.1、20.12.1 或 21.7.2。因此，它受到 2024 年 4 月 3 日星期三安全性版本公告中提及的多個弱點影響。

  - 攻擊者可傳送少量內含少量 HTTP/2 框架的 HTTP/2 框架封包，進而使 Node.js HTTP/2 伺服器完全無法使用。若採用 HTTP/2 CONTINUATION 框架的標頭被傳送至伺服器，即使被重設，nghttp2 記憶體中仍可能留下一些資料；若 TCP 連結被觸發 Http2Session 解構函式的用戶端突然關閉並且標頭框架仍在處理中 (儲存在記憶體中)，則可能導致爭用情形。影響：感謝 bart 報告此弱點，同時感謝 Anna Henningsen 修正此弱點。(CVE-2024-27983)

  - 團隊在最新版 Node 的 http 伺服器中發現一個弱點，格式錯誤的標頭可導致 HTTP 要求走私。具體而言，如果在 content-length 標頭前放置一個空格，系統則無法正確解譯該空格，進而讓攻擊者能夠在第一個要求的內文中走私第二個要求。影響：感謝 bpingel 報告此弱點，同時感謝 Paolo Insogna 修正此弱點。摘要 Node.js 專案將於 2024 年 4 月 3 日星期三或之後不久發布 18.x、20.x 和 21.x 版本系列的新版本，以解決：(CVE-2024-27982)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

偵測

Node.js 18.x < 18.20.1/20.x < 20.12.1/21.x < 21.7.2 多個弱點 (2024 年 4 月 3 日星期三安全性版本)。

high Nessus Plugin ID 192945

版本 1.0