AlmaLinux 9.2 主機已安裝的套件會受到 TuxCare ALMALINUX9.2：CLSA-2026：1790252886 公告中提及的多個弱點影響。

  - 大括號展開 5.0.6 容易受到拒絕服務的影響。expand（） 函式在連續非展開的「{}」大括號群組數目中表現出指數時間複雜度。攻擊者直接或轉移地將特製字串傳遞至 expand（），可造成大量 CPU 消耗和事件迴圈封鎖。max 選項不會緩解此問題，因為它會限制輸出大小，而不是遞迴工作。（CVE-2026-13149）

  - 大括號擴充 5.0.7 容易因記憶體耗盡而遭受拒絕服務。expand（） 函式會使用 max 選項 （預設值 100,000） 限制結果數目，但不會限制每個結果字串的長度。藉由鏈結多個大括號群組，攻擊者可將結果計數保持在限制之下，同時使每個結果逐漸變長，因此總記憶體會隨著計數和字串長度而調整，直到處理程序遇到致命的、無法擷取的記憶體不足錯誤為止。大約 7.5 KB 的輸入 （'{a，b}'.repeat（1500）） 使預設Node.js處理程序當機。任何將受攻擊者影響的字串傳遞至 brace-expansion.expand（） 的應用程式 （直接或透過小型比對/大括號模式轉移） 都可能因小請求而當機。透過 5.0.8 新增 maxLength 選項 （預設為 4,000,000） 來固定累積輸出和中間陣列。（CVE-2026-14257）

  - node-tar 是用於 Node.js 的 tar 封存操作程式庫。在之前 7.5.19，node-tar 不會在擷取和剖析路徑 （例如 src/extract.ts） 中對解壓縮資料總數、條目計數或解壓縮比率強制執行硬性上限，因此允許小型特製的 gzip 炸彈耗盡磁碟空間和 CPU。
    7.5.19 版已修正此問題。(CVE-2026-59873)

  - node-tar 是用於 Node.js 的 tar 封存操作程式庫。在之前 7.5.18，tar.replace 接受具有負 base-256 編碼項目大小的總和檢查碼有效 tar 標頭，導致封存掃描器在重複剖析相同標頭時沒有任何進展。7.5.18 版已修正此問題。
    (CVE-2026-59874)

  - brace-expansion 程式庫會產生包含通用字首和字尾的任意字串。在 、 、 3.0.6和 5.0.9之前2.1.4，1.1.18expand（） 在建構逗號替代中間陣列或填充序列時不套用 maxLength，允許攻擊者控制的輸入耗盡記憶體或封鎖事件迴圈。弱點會繞過 的 CVE-2026-14257 修正。此問題已在 1.1.18、2.1.4、3.0.6 和 5.0.9 版中修正。(CVE-2026-69152)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

偵測

AlmaLinux 9.2 [TuxCare] 安全性更新：nodejs / nodejs-devel / nodejs-docs / nodejs-full-i18n / etc多個弱點（ALMALINUX9.2：CLSA-2026：1790252886）

critical Nessus Plugin ID 352314

找不到變更記錄

偵測

AlmaLinux 9.2 [TuxCare] 安全性更新：nodejs / nodejs-devel / nodejs-docs / nodejs-full-i18n / etc多個弱點 （ALMALINUX9.2：CLSA-2026：1790252886）

critical Nessus Plugin ID 352314

找不到變更記錄

AlmaLinux 9.2 [TuxCare] 安全性更新：nodejs / nodejs-devel / nodejs-docs / nodejs-full-i18n / etc多個弱點（ALMALINUX9.2：CLSA-2026：1790252886）