多個 Node.js 模組在自我擴散的 npm 供應鏈攻擊中受到損害 （mini-Shai-Hulud） （05/11/2026）
critical Nessus Plugin ID 315991
語言:
概要
遠端主機安裝了在迷你 Shai-Hulud 供應鏈攻擊中遭到入侵的Node.js模組。說明
遠端主機安裝了一個或多個 Node.js 模組的版本，已知在 2026 年 5 月 11 日報告的自我傳播「mini-Shai-Hulud」npm 供應鏈攻擊中受到威脅。由於不同的受損維護者（TanStack、UiPath、DraftLab、Mistral 等）、不同的惡意軟體有效負載和不同的時間表，因此與原始 Shai-Hulud 活動分開追蹤。這些模組的惡意更新引入了隨後會將其洩漏的憑證竊取。接著它會嘗試傳播至由維護者控制的其他套件。
此外掛程式檢查的易受攻擊Node.js套件清單截至 26 年 5 月 11 日是最新的。但是，此弱點的影響正在不斷發展，如果發現其他有弱點的套件，清單可能會過時
請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。
解決方案
將受影響的節點模組更新至比已知遭入侵版本更高的版本。另請參閱
http://www.nessus.org/u?6e5a22f6
Plugin 詳細資訊
嚴重性: Critical
ID: 315991
檔案名稱: npm_supply_chain_attack_mini_shai_hulud.nasl
版本: 1.2
類型: Local
代理程式: windows, macosx, unix
系列: Misc.
已發布: 2026/5/21
已更新: 2026/5/25
支援的感應器: Nessus Agent, Nessus
風險資訊
VPR
風險因素: Critical
分數: 9.2
CVSS v2
風險因素: High
基本分數: 9.3
時間性分數: 7.3
媒介: CVSS2#AV:N/AC:M/Au:N/C:C/I:C/A:C
CVSS 評分資料來源: CVE-2026-45321
CVSS v3
風險因素: Critical
基本分數: 9.6
時間性分數: 8.6
媒介: CVSS:3.0/AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H
時間媒介: CVSS:3.0/E:P/RL:O/RC:C
弱點資訊
CPE: cpe:/a:nodejs:node.js
必要的 KB 項目: Host/nodejs/modules/enumerated
可被惡意程式利用: true
可輕鬆利用: Exploits are available
修補程式發佈日期: 2026/5/11
弱點發布日期: 2026/5/11
參考資訊
CVE: CVE-2026-45321