遠端 Redhat Enterprise Linux 9 主機上安裝的多個套件受到 RHSA-2026:7983 公告中提及的多個弱點影響。

    Node.js 是一個軟體開發平台，可使用 JavaScript 程式設計語言建置快速且可擴充的網路應用程式。

    安全性修正：

    * brace-expansion: brace-expansion：透過無限制括弧範圍擴充造成的拒絕服務 (CVE-2026-25547)

    * minimatch: minimatch：透過特製 glob 模式造成的拒絕服務 (CVE-2026-26996)

    * minimatch: Minimatch：在 glob 運算式中透過災難性回溯造成的拒絕服務 (CVE-2026-27904)

    * undici: undici：在 WebSocket permessage-deflate 解壓縮期間，透過無限制的記憶體消耗造成的拒絕服務 (CVE-2026-1526)

    * undici: Undici：透過無效的 WebSocket permessage-deflate 延伸模組參數造成的拒絕服務 (CVE-2026-2229)

    * undici: Undici：因重複 Content-Length 標頭而發生的 HTTP 要求走私和拒絕服務 (CVE-2026-1525)

    * undici: undici：透過具有大長度的特製 WebSocket 框架造成的拒絕服務 (CVE-2026-1528)

    * nghttp2: nghttp2：工作階段終止後，透過格式錯誤的 HTTP/2 框架造成的拒絕服務 (CVE-2026-27135)

    * Node.js: Node.js：因特製 HTTP `__proto__` 標頭而導致的拒絕服務 (CVE-2026-21710)

    如需安全性問題的詳細資料，包括影響、CVSS 評分、致謝及其他相關資訊，請參閱〈參照〉一節列出的 CVE 頁面。

Tenable 已直接從 Red Hat Enterprise Linux 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 AlmaLinux 9 主機已安裝受到多個弱點影響的套件如 ALSA-2026:7896 公告中所提及。

    * minimatch: minimatch：透過特製 glob 模式造成的拒絕服務 (CVE-2026-26996)
      * minimatch: Minimatch：在 glob 運算式中透過災難性回溯造成的拒絕服務 (CVE-2026-27904)
      * nghttp2：nghttp2：工作階段終止後，透過格式錯誤的 HTTP/2 框架造成拒絕服務 (CVE-2026-27135)
      * Node.js: Node.js：因特製 HTTP `__proto__` 標頭而導致的拒絕服務 (CVE-2026-21710)

Tenable 已直接從 AlmaLinux 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Oracle Linux 9 主機中安裝的套件受到 ELSA-2026-7350 公告中提及的多個弱點影響。

    nodejs [1:24.14.1-2]
    - 將隨附的 nghttp2 更新至 1.68.1

    [1:24.14.1-1]
    - 24.14.1 版的更新

    nodejs-nodemon [3.0.3-3]
    - 僅在 npm 上保留 BR

    [3.0.3-2]
    - 修正 nodejs-npm 的 BR

    nodejs-packaging [2021.06-6]
    - 正確處理 nodejs-symlink-deps 中的 @group/package dep 解決：RHEL-121581

    [2021.06-5]
    - 正確偵測隨附 dep 的 nodejs.req

Tenable 已直接從 Oracle Linux 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Oracle Linux 9 主機中安裝的套件受到 ELSA-2026-7302 公告中提及的多個弱點影響。

    - 針對 CVE-2026-27135，引入了可將 deps/nghttp2 更新至 v 1.68.1 的修補程式
    - npm/braces CVE-2026-25547 的修補程式 已解決：RHEL-163369 已修正：CVE-2026-1528 CVE-2026-2229 CVE-2026-1526 CVE-2026-1525 CVE-2026-27135 CVE-2026-27904 CVE-2026-26996 CVE-2026-25547

    nodejs-nodemon
    - 解決：CVE-2022-25883
    - 解決：CVE-2021-35065
    - 重定基底至 2.0.20 解決：CVE-2022-3517
    - 解決 CVE-2020-28469

Tenable 已直接從 Oracle Linux 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Redhat Enterprise Linux 9 主機上安裝的多個套件受到 RHSA-2026:18055 公告中提及的多個弱點影響。

    Red Hat JBoss Enterprise Application Platform 8 是一個以 WildFly 應用程式執行時間為基礎的 Java 應用程式平台。本版本 Red Hat JBoss Enterprise Application Platform 8.1.6 是 Red Hat JBoss Enterprise Application Platform 8.1.5 的替代版本，其中包含錯誤修正和增強功能。如需此公告中包含的最重要的錯誤修正和增強功能的相關資訊，請參閱 Red Hat JBoss Enterprise Application Platform 8.1.6 版本資訊。

    安全性修正：

    * bcprov-jdk18on： GOSTCTR 實作無法正確處理超過 255 個區塊 （CVE-2025-14813）

    * bouncycastle: BC-JAVA：GOSTCTR 實作無法正確處理超過 255 個區塊 （CVE-2025-14813）

    * bouncycastle：BC-JAVA：不受限制的 PGP AEAD 區塊大小會導致預先驗證資源耗盡 （CVE-2026-3505）

    * bouncycastle：BC-JAVA：PKIX 草稿 CompositeVerifier 接受空簽名序列為有效 （CVE-2026-5588）

    * bcprov-ext-jdk15on：LDAPStoreHelper.java 中的 LDAP 插入弱點 （CVE-2026-0636）
    * bcprov-jdk12：透過非常量時間比較 （CVE-2026-5598） 洩漏私密金鑰

    * netty-codec-http： netty：透過 HTTP/2 CONTINUATION 框架溢流 （CVE-2026-33871） 的拒絕服務

    * netty-codec-http： Netty：透過錯誤剖析 HTTP/1.1 區塊傳輸編碼延伸值 （CVE-2026-33870） 來進行請求走私

    * artemis-server：Apache Artemis、Apache ActiveMQ Artemis：由於缺少身份驗證而導致的訊息插入和洩漏 （CVE-2026-27446）

    * org.hibernate.orm/hibernate-c3p0： c3p0： 透過特製物件的反序列化執行任意程式碼（CVE-2026-27830）

    * org.keycloak-keycloak-parent: Minimatch：在 glob 運算式中透過災難性回溯造成的拒絕服務 (CVE-2026-27904)

    *mchange-commons-java：mchange-commons-java：透過特製物件的 JNDI 解除參照執行任意程式碼 (CVE-2026-27727)

    * io.hawt-project: minimatch：透過特製 glob 模式造成的拒絕服務 (CVE-2026-26996)

    * wildfly-elytron-integration：透過 CLI 的 Wildfly Elytron 暴力攻擊 （CVE-2025-23368）

    如需安全性問題的詳細資料，包括影響、CVSS 評分、致謝及其他相關資訊，請參閱〈參照〉一節列出的 CVE 頁面。

Tenable 已直接從 Red Hat Enterprise Linux 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

AlmaLinux 9.6 主機已安裝的套件會受到 TuxCare ALMALINUX9.6：CLSA-2026：1776783520 公告中提及的多個弱點影響。

  - minimatch 是一個最小比對公用程式，用於將 glob 運算式轉換為 JavaScript RegExp 物件。
    當 glob 模式包含許多連續的 * 萬用字元，後面接著未出現在測試字串中的常值字元時，版本及以下版本 10.2.0 容易受到規則運算式拒絕服務 （ReDoS） 的攻擊。每個 * 都會編譯成單獨的 [^/]*？正則運算式群組，當比對失敗時，V8 的正則運算式引擎會在所有可能的分割中以指數方式回溯。時間複雜度為 O（4^N），其中 N 是 * 字元的數量。當 N=15 時，單一 minimatch（） 呼叫需要 ~2 秒。當 N=34 時，它會永久有效懸掛。任何將使用者控制的字串傳遞至 minimatch（） 作為模式引數的應用程式都容易受到 DoS 的影響。10.2.1 版已修正此問題。(CVE-2026-26996)

  - minimatch 是一個最小比對公用程式，用於將 glob 運算式轉換為 JavaScript RegExp 物件。
    在10.2.3版本 、 9.0.7、 8.0.6、 3.1.47.4.86.2.25.1.84.2.5和 、 巢狀 '*（）' extglobs 會產生具有巢狀無界量詞的正則運算式 （例如，'（？:(？：a|b）*）*'），這在 V8 中表現出災難性的回溯。使用 12 位元組模式 '*（*（a|b）））' 和 18 位元組不相符的輸入時，'minimatch（）' 會停止超過 7 秒。新增單一巢狀層級或幾個輸入字元會將此值推至幾分鐘。
    這是最嚴重的發現：它是由預設的「minimatch（）」API 觸發的，沒有特殊選項，而且最小可行模式只有 12 個位元組。同樣的問題同樣影響 '+（）' extglobs。版本 10.2.3、 9.0.7、 8.0.6、 7.4.86.2.2、 5.1.8、 4.2.5、 ，3.1.4並修正問題。（CVE-2026-27904）

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

Rocky Linux 8 主機已安裝的套件會受到 CIQ crlsa-2026_7670 公告中提及的多個弱點影響。

    * nodejs：Nodejs 拒絕服務 (CVE-2026-21637)

    * minimatch：minimatch：透過特製 glob 模式發生的拒絕服務 (CVE-2026-26996)

    * undici: Undici：因不受控制的資源消耗導致的拒絕服務 (CVE-2026-2581)

    * undici: Undici：HTTP 標頭插入和要求走私弱點 (CVE-2026-1527)

    * undici: undici：在 WebSocket permessage-deflate 解壓縮期間，透過無限制的記憶體消耗造成的拒絕服務 (CVE-2026-1526)

    * undici: Undici：透過無效的 WebSocket permessage-deflate 延伸模組參數造成的拒絕服務 (CVE-2026-2229)

    * undici: Undici：因重複 Content-Length 標頭而發生的 HTTP 要求走私和拒絕服務 (CVE-2026-1525)

    * undici: undici：透過具有大長度的特製 WebSocket 框架造成的拒絕服務 (CVE-2026-1528)

    * nghttp2: nghttp2：工作階段終止後，透過格式錯誤的 HTTP/2 框架造成的拒絕服務 (CVE-2026-27135)

    * Node.js: Node.js：透過處理格式錯誤的國際化網域名稱造成的拒絕服務 (CVE-2026-21712)

    * Node.js: Node.js：因特製 HTTP `__proto__` 標頭而導致的拒絕服務 (CVE-2026-21710)

    * Node.js: Node.js：因 `fs.realpathSync.native()` 繞過檔案系統讀取限製而造成的資訊洩漏弱點 (CVE-2026-21715)

    * nodejs: Node.js：權限繞過允許透過不完整的安全性修正，在未經授權的情況下修改檔案權限和擁有權。(CVE-2026-21716)

    * Node.js: Node.js：因缺少 Unix 網域通訊端權限檢查而導致的未經授權的處理程序間通訊 (CVE-2026-21711)

    * Node.js: Node.js：透過 HMAC 驗證中的計時 oracle 造成的資訊洩漏弱點 (CVE-2026-21713)

    * Node.js: Node.js：透過特製的 HTTP/2 WINDOW_UPDATE 框架造成的記憶體流失和拒絕服務 (CVE-2026-21714)

    * nodejs: v8: Node.js：由於可預測的雜湊衝突，透過 V8 字串雜湊機製造成的拒絕服務 (CVE-2026-21717)

Tenable 已直接從 CIQ 安全性公告中擷取上述描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Redhat Enterprise Linux 8 / 9 主機上安裝的套件受到 RHSA-2026:24761 公告中提及的多個弱點影響。

    Red Hat Ansible Automation Platform 提供企業架構，用於大規模構建、部署和管理 IT 自動化。IT 管理員可針對如何將自動化套用至個別團隊，提供自上而下的準則，自動化開發人員則可繼續自由撰寫利用現有知識的工作，而不會產生額外負荷。Ansible Automation Platform 可讓組織內的使用者透過簡單、功能強大且無代理程式的語言，共用、檢查和管理自動化內容。

    安全性修正：
    * automation-controller：密碼編譯：透過 API 中的非連續緩衝區造成緩衝區溢位 (CVE-2026-39892)
    * automation-controller：pyasn1 容易受到無限制遞回引發拒絕服務的影響 (CVE-2026-30922)
    * automation-gateway：Axios：由於主機名稱正規化不當，導致伺服器端要求偽造和 Proxy 繞過 (CVE-2025-62718)
    * automation-gateway：Vite：透過 WebSocket 連線實現的資訊洩露會繞過存取控制 (CVE-2026-39363)
    * automation-gateway：node-forge：透過 BigInteger.modInverse() 中的無限迴圈造成拒絕服務 (CVE-2026-33891)
    * automation-gateway：偽造：透過弱式 RSASSA PKCS#1 v1.5 驗證偽造簽名 (CVE-2026-33894)
    * automation-gateway：偽造：透過偽造的 Ed25519 加密簽章繞過身份驗證 (CVE-2026-33895)
    * automation-gateway：偽造 (node-forge)：繞過憑證驗證允許未經授權的憑證核發 (CVE-2026-33896)
    * automation-gateway：path-to-regexp：透過特製的規則運算式造成拒絕服務 (CVE-2026-4926)
    * automation-gateway：Minimatch：在 glob 運算式中透過災難性回溯造成拒絕服務 (CVE-2026-27904)
    * automation-gateway：minimatch：透過特製 glob 模式造成拒絕服務 (CVE-2026-26996)
    * automation-gateway-proxy：Go crypto/tls：透過多個 TLS 1.3 金鑰更新訊息造成拒絕服務 (CVE-2026-32283)
    * automation-gateway-proxy：Go：憑證鏈構建中的拒絕服務弱點 (CVE-2026-32280)
    * python3.12-click：透過 click.edit() 中的命令插入執行任意命令 (CVE-2026-7246)
    * python3.12-cryptography：透過 API 中的非連續緩衝區造成緩衝區溢位 (CVE-2026-39892)
    * python3.12-pillow：在 FITS 影像處理中透過解壓縮炸彈造成拒絕服務 (CVE-2026-40192)
    * receptor：Go crypto/tls：透過多個 TLS 1.3 金鑰更新訊息造成拒絕服務 (CVE-2026-32283)
    * receptor：Go：憑證鏈構建中的拒絕服務弱點 (CVE-2026-32280)
    * receptor：Root.Chmod 可能會跟隨符號連結導致跳脫根目錄限制 (CVE-2026-32282)

    如需安全性問題的詳細資料，包括影響、CVSS 評分、致謝及其他相關資訊，請參閱〈參照〉一節列出的 CVE 頁面。

    請參閱「參考資源」一節中列出的版本資訊，瞭解有關此版本的詳細資料。

Tenable 已直接從 Red Hat Enterprise Linux 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

ID	名稱	產品	系列	已發布	已更新	嚴重性
306402	RHEL 9：nodejs:22 (RHSA-2026:7983)	Nessus	Red Hat Local Security Checks	2026/4/14	2026/4/14	critical
306647	AlmaLinux 9 : nodejs:20 (ALSA-2026:7896)	Nessus	Alma Linux Local Security Checks	2026/4/16	2026/4/16	high
307038	Oracle Linux 9：nodejs:24 (ELSA-2026-7350)	Nessus	Oracle Linux Local Security Checks	2026/4/17	2026/4/17	critical
307040	Oracle Linux 9：nodejs:22 (ELSA-2026-7302)	Nessus	Oracle Linux Local Security Checks	2026/4/17	2026/4/17	critical
315188	RHEL 9 : Red Hat JBoss Enterprise Application Platform 8.1.6 (RHSA-2026:18055)	Nessus	Red Hat Local Security Checks	2026/5/18	2026/5/18	critical
352829	AlmaLinux 9.6 [TuxCare] 安全性更新：nodejs / nodejs-devel / nodejs-docs / nodejs-full-i18n / etc多個弱點（ALMALINUX9.6：CLSA-2026：1776783520）	Nessus	Alma Linux Local Security Checks	2026/9/30	2026/9/30	high
356676	Rocky Linux 8 [CIQ] 安全性更新：nodejs / nodejs-debuginfo / nodejs-debugsource / nodejs-devel / etc 多個弱點（crlsa-2026_7670）	Nessus	Rocky Linux Local Security Checks	2026/10/1	2026/10/1	high
320178	RHEL 8/9：Red Hat Ansible Automation Platform 2.5 產品安全性和錯誤修正更新 (重要) (RHSA-2026:24761)	Nessus	Red Hat Local Security Checks	2026/6/9	2026/6/9	high

偵測

搜尋 Plugin

critical

high

critical

critical

critical

high

high

high