因此，會受到 ALAS2023-2026-1404 公告中所提及的多個弱點影響。

    使用特製的符號連結繞過檔案系統權限 (CVE-2025-55130)

    使用具有逾時選項的 vm 模組時Node.js 緩衝區配置邏輯中的一個缺陷可在配置中斷時暴露未初始化的記憶體。在特定計時情況下，以 Buffer.alloc 和其他 TypedArray 執行個體 (如 Uint8Array) 配置的緩衝區可能含有來自先前作業的剩餘資料，進而允許權杖或密鑰等處理程序中的密碼洩漏或造成資料損毀。

    雖然惡意利用通常需要精確的計時或處理程序內程式碼執行但當不受信任的輸入影響工作負載和逾時時其可從遠端遭到惡意利用進而導致潛在的機密性和完整性影響。 (CVE-2025-55131)

    fs.futimes() 繞過唯讀權限模型 (CVE-2025-55132)

    對處理 TLS 用戶端憑證的應用程式啟用遠端拒絕服務的記憶體洩漏 (CVE-2025-59464)

    Node.js HTTP/2 伺服器在接收格式錯誤的 HEADERS 框架時因未處理的錯誤而當機 (CVE-2025-59465)

    在 Node.js 上透過 async_hooks 發生的「超過呼叫堆疊大小上限」錯誤導致處理程序損毀繞過錯誤處置程式 (CVE-2025-59466)

    TLS PSK/ALPN 回呼例外狀況繞過錯誤處置程式導致 DoS 與 FD 洩漏

    注意: https://nodejs.org/en/blog/vulnerability/december-2025-security-releases#tls-pskalpn-callback-exceptions-bypass-error-handlers-causing-dos-and-fd-leak-cve-2026-21637---medium (CVE-2026-21637)

    Undici 是 Node.js 的 HTTP/1.1 用戶端。 7.18.0 與 6.23.0之前的版本解壓縮鏈結中的連結數不受限制且預設的 maxHeaderSize 允許惡意伺服器插入數千個壓縮步驟進而導致高 CPU 使用率和過度記憶體配置。此弱點已在 7.18.0 和 6.23.0 中修正。(CVE-2026-22036)

Tenable 已直接從所測試產品的安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

偵測

Amazon Linux 2023nodejs24、nodejs24-devel、nodejs24-full-i18n (ALAS2023-2026-1404)

medium Nessus Plugin ID 298098

找不到依附元件