Rocky Linux 9 主機已安裝的套件會受到 CIQ crlsa-2026_7350 公告中提及的多個弱點影響。

    * nodejs：Nodejs 拒絕服務 (CVE-2026-21637)

    * brace-expansion: brace-expansion：透過無限制括弧範圍擴充造成的拒絕服務 (CVE-2026-25547)

    * minimatch: minimatch：透過特製 glob 模式造成的拒絕服務 (CVE-2026-26996)

    * undici: Undici：因不受控制的資源消耗導致的拒絕服務 (CVE-2026-2581)

    * undici: Undici：HTTP 標頭插入和要求走私弱點 (CVE-2026-1527)

    * undici: undici：在 WebSocket permessage-deflate 解壓縮期間，透過無限制的記憶體消耗造成的拒絕服務 (CVE-2026-1526)

    * undici: Undici：透過無效的 WebSocket permessage-deflate 延伸模組參數造成的拒絕服務 (CVE-2026-2229)

    * undici: Undici：因重複 Content-Length 標頭而發生的 HTTP 要求走私和拒絕服務 (CVE-2026-1525)

    * undici: undici：透過具有大長度的特製 WebSocket 框架造成的拒絕服務 (CVE-2026-1528)

    * nghttp2: nghttp2：工作階段終止後，透過格式錯誤的 HTTP/2 框架造成的拒絕服務 (CVE-2026-27135)

    * Node.js: Node.js：透過處理格式錯誤的國際化網域名稱造成的拒絕服務 (CVE-2026-21712)

    * Node.js: Node.js：因特製 HTTP `__proto__` 標頭而導致的拒絕服務 (CVE-2026-21710)

    * Node.js: Node.js：因 `fs.realpathSync.native()` 繞過檔案系統讀取限製而造成的資訊洩漏弱點 (CVE-2026-21715)

    * nodejs: Node.js：權限繞過允許透過不完整的安全性修正，在未經授權的情況下修改檔案權限和擁有權。(CVE-2026-21716)

    * Node.js: Node.js：因缺少 Unix 網域通訊端權限檢查而導致的未經授權的處理程序間通訊 (CVE-2026-21711)

    * Node.js: Node.js：透過 HMAC 驗證中的計時 oracle 造成的資訊洩漏弱點 (CVE-2026-21713)

    * Node.js: Node.js：透過特製的 HTTP/2 WINDOW_UPDATE 框架造成的記憶體流失和拒絕服務 (CVE-2026-21714)

    * nodejs: v8: Node.js：由於可預測的雜湊衝突，透過 V8 字串雜湊機製造成的拒絕服務 (CVE-2026-21717)

Tenable 已直接從 CIQ 安全性公告中擷取上述描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

Rocky Linux 8 主機已安裝的套件會受到 CIQ crlsa-2026_8339 公告中提及的多個弱點影響。

    * minimatch: minimatch：透過特製 glob 模式造成的拒絕服務 (CVE-2026-26996)

    * minimatch: Minimatch：在 glob 運算式中透過災難性回溯造成的拒絕服務 (CVE-2026-27904)

    * nghttp2：nghttp2：工作階段終止後，透過格式錯誤的 HTTP/2 框架造成拒絕服務 (CVE-2026-27135)

    * Node.js: Node.js：因特製 HTTP `__proto__` 標頭而導致的拒絕服務 (CVE-2026-21710)

Tenable 已直接從 CIQ 安全性公告中擷取上述描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且供應商未提供可用的修補程式。

  - minimatch 是一個最小匹配工具，用於將 glob 表達式轉換成 JavaScript RegExp 物件。
    10.2.0版本及以下版本若包含多個連續的 * 萬用字元，且後面接著未出現在測試字串中的字元，則易受到正則表達式拒絕服務（ReDoS）攻擊。每個 * 會編譯成獨立的 [^/]*？正則表達式群，當比賽失敗時，V8的正則表達式引擎會指數式地回溯所有可能的分裂。時間複雜度為 O（4^N），其中 N 是 * 字元的數量。當 N=15 時，一次 minimatch（） 呼叫需時 ~2 秒。當 N=34 時，它實際上會永久懸掛。任何將使用者控制字串傳給 minimatch（） 作為 pattern 參數的應用程式，都可能受到 DoS 威脅。10.2.1 版已修正此問題。(CVE-2026-26996)

請注意，Nessus 的判定取決於廠商所報告的套件是否存在。

遠端 AlmaLinux 10 主機中安裝的套件受到 ALSA-2026:7080 公告中提及的多個弱點影響。

    * brace-expansion: brace-expansion：透過無限制括弧範圍擴充造成的拒絕服務 (CVE-2026-25547)
      * minimatch: minimatch：透過特製 glob 模式造成的拒絕服務 (CVE-2026-26996)
      * minimatch: Minimatch：在 glob 運算式中透過災難性回溯造成的拒絕服務 (CVE-2026-27904)
      * undici: undici：在 WebSocket permessage-deflate 解壓縮期間，透過無限制的記憶體消耗造成的拒絕服務 (CVE-2026-1526)
      * undici: Undici：透過無效的 WebSocket permessage-deflate 延伸模組參數造成的拒絕服務 (CVE-2026-2229)
      * undici: Undici：因重複 Content-Length 標頭而發生的 HTTP 要求走私和拒絕服務 (CVE-2026-1525)
      * undici: undici：透過具有大長度的特製 WebSocket 框架造成的拒絕服務 (CVE-2026-1528)
      * nghttp2: nghttp2：工作階段終止後，透過格式錯誤的 HTTP/2 框架造成的拒絕服務 (CVE-2026-27135)
      * Node.js: Node.js：因特製 HTTP `__proto__` 標頭而導致的拒絕服務 (CVE-2026-21710)

Tenable 已直接從 AlmaLinux 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Redhat Enterprise Linux 10 主機上安裝的套件受到 RHSA-2026:7675 公告中提及的多個弱點影響。

    Node.js 是一種構建在 Chrome 之 JavaScript 執行階段上的平台，適用於輕易地構建快速、可擴充的網路應用程式。Node.js 使用一個以事件為導向的非封鎖 I/O 模型，使其更為輕量及更有效率、適用於跨分散式裝置的資料密集型即時應用程式。

    安全性修正：

    * nodejs：Nodejs 拒絕服務 (CVE-2026-21637)

    * brace-expansion：brace-expansion：透過無限制的括弧擴充造成拒絕服務 (CVE-2026-25547)

    * minimatch：minimatch：透過特製 glob 模式發生的拒絕服務 (CVE-2026-26996)

    * undici：Undici：因不受控制的資源消耗導致的拒絕服務 (CVE-2026-2581)

    * undici：Undici：HTTP 標頭插入和要求走私弱點 (CVE-2026-1527)

    * undici：undici：在 WebSocket permessage-deflate 解壓縮期間，透過無限制的記憶體消耗造成拒絕服務 (CVE-2026-1526)

    * undici：Undici：透過無效的 WebSocket permessage-deflate 延伸模組參數造成拒絕服務 (CVE-2026-2229)

    * undici：Undici：因重複 Content-Length 標頭而發生的 HTTP 要求走私和拒絕服務 (CVE-2026-1525)

    * undici：undici：透過具有大長度的特製 WebSocket 框架造成拒絕服務 (CVE-2026-1528)

    * nghttp2：nghttp2：工作階段終止後，透過格式錯誤的 HTTP/2 框架造成拒絕服務 (CVE-2026-27135)

    * Node.js：Node.js：透過處理格式錯誤的國際化網域名稱造成拒絕服務 (CVE-2026-21712)

    * Node.js：Node.js：因特製 HTTP「__proto__」標頭而導致的拒絕服務 (CVE-2026-21710)

    * Node.js：Node.js：因「fs.realpathSync.native()」繞過檔案系統讀取限製而造成資訊洩漏 (CVE-2026-21715)

    * nodejs：Node.js：權限繞過允許透過不完整的安全性修正，在未經授權的情況下修改檔案權限和擁有權。(CVE-2026-21716)

    * Node.js：Node.js：因缺少 Unix 網域通訊端權限檢查而導致未經授權的處理程序間通訊 (CVE-2026-21711)

    * Node.js：Node.js：透過 HMAC 驗證中的計時 oracle 造成資訊洩漏 (CVE-2026-21713)

    * Node.js：Node.js：透過特製的 HTTP/2 WINDOW_UPDATE 框架造成記憶體流失和拒絕服務 (CVE-2026-21714)

    * nodejs：v8：Node.js：由於可預測的雜湊衝突，透過 V8 字串雜湊機製造成拒絕服務 (CVE-2026-21717)

    如需安全性問題的詳細資料，包括影響、CVSS 評分、致謝及其他相關資訊，請參閱〈參照〉一節列出的 CVE 頁面。

Tenable 已直接從 Red Hat Enterprise Linux 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 AlmaLinux 10 主機中安裝的套件受到 ALSA-2026:7675 公告中提及的多個弱點影響。

    * nodejs：Nodejs 拒絕服務 (CVE-2026-21637)
      * brace-expansion: brace-expansion：透過無限制括弧範圍擴充造成的拒絕服務 (CVE-2026-25547)
      * minimatch: minimatch：透過特製 glob 模式造成的拒絕服務 (CVE-2026-26996)
      * undici: Undici：因不受控制的資源消耗導致的拒絕服務 (CVE-2026-2581)
      * undici: Undici：HTTP 標頭插入和要求走私弱點 (CVE-2026-1527)
      * undici: undici：在 WebSocket permessage-deflate 解壓縮期間，透過無限制的記憶體消耗造成的拒絕服務 (CVE-2026-1526)
      * undici: Undici：透過無效的 WebSocket permessage-deflate 延伸模組參數造成的拒絕服務 (CVE-2026-2229)
      * undici: Undici：因重複 Content-Length 標頭而發生的 HTTP 要求走私和拒絕服務 (CVE-2026-1525)
      * undici: undici：透過具有大長度的特製 WebSocket 框架造成的拒絕服務 (CVE-2026-1528)
      * nghttp2: nghttp2：工作階段終止後，透過格式錯誤的 HTTP/2 框架造成的拒絕服務 (CVE-2026-27135)
      * Node.js: Node.js：透過處理格式錯誤的國際化網域名稱造成的拒絕服務 (CVE-2026-21712)
      * Node.js: Node.js：因特製 HTTP `__proto__` 標頭而導致的拒絕服務 (CVE-2026-21710)
      * Node.js: Node.js：因 `fs.realpathSync.native()` 繞過檔案系統讀取限製而造成的資訊洩漏弱點 (CVE-2026-21715)
      * nodejs: Node.js：權限繞過允許透過不完整的安全性修正，在未經授權的情況下修改檔案權限和擁有權。(CVE-2026-21716)
      * Node.js: Node.js：因缺少 Unix 網域通訊端權限檢查而導致的未經授權的處理程序間通訊 (CVE-2026-21711)
      * Node.js: Node.js：透過 HMAC 驗證中的計時 oracle 造成的資訊洩漏弱點 (CVE-2026-21713)
      * Node.js: Node.js：透過特製的 HTTP/2 WINDOW_UPDATE 框架造成的記憶體流失和拒絕服務 (CVE-2026-21714)
      * nodejs: v8: Node.js：由於可預測的雜湊衝突，透過 V8 字串雜湊機製造成的拒絕服務 (CVE-2026-21717)

Tenable 已直接從 AlmaLinux 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 MiracleLinux 9 主機中安裝的套件受到 AXSA:2026-446:01 公告中提及的多個弱點影響。

    * brace-expansion: brace-expansion：透過無限制括弧範圍擴充造成的拒絕服務 (CVE-2026-25547)
      * minimatch: minimatch：透過特製 glob 模式造成的拒絕服務 (CVE-2026-26996)
      * minimatch: Minimatch：在 glob 運算式中透過災難性回溯造成的拒絕服務 (CVE-2026-27904)
      * undici: undici：在 WebSocket permessage-deflate 解壓縮期間，透過無限制的記憶體消耗造成的拒絕服務 (CVE-2026-1526)
      * undici: Undici：透過無效的 WebSocket permessage-deflate 延伸模組參數造成的拒絕服務 (CVE-2026-2229)
      * undici: Undici：因重複 Content-Length 標頭而發生的 HTTP 要求走私和拒絕服務 (CVE-2026-1525)
      * undici: undici：透過具有大長度的特製 WebSocket 框架造成的拒絕服務 (CVE-2026-1528)
      * nghttp2: nghttp2：工作階段終止後，透過格式錯誤的 HTTP/2 框架造成的拒絕服務 (CVE-2026-27135)
      * Node.js: Node.js：因特製 HTTP `__proto__` 標頭而導致的拒絕服務 (CVE-2026-21710)

Tenable 已直接從 MiracleLinux 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

Rocky Linux 9 主機已安裝的套件會受到 CIQ crlsa-2026_7896 公告中提及的多個弱點影響。

    * minimatch: minimatch：透過特製 glob 模式造成的拒絕服務 (CVE-2026-26996)

    * minimatch: Minimatch：在 glob 運算式中透過災難性回溯造成的拒絕服務 (CVE-2026-27904)

    * nghttp2：nghttp2：工作階段終止後，透過格式錯誤的 HTTP/2 框架造成拒絕服務 (CVE-2026-27135)

    * Node.js: Node.js：因特製 HTTP `__proto__` 標頭而導致的拒絕服務 (CVE-2026-21710)

Tenable 已直接從 CIQ 安全性公告中擷取上述描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

ID	名稱	產品	系列	已發布	已更新	嚴重性
354171	Rocky Linux 9 [CIQ] 安全性更新：nodejs / nodejs-debuginfo / nodejs-debugsource / nodejs-devel / etc 多個弱點（crlsa-2026_7350）	Nessus	Rocky Linux Local Security Checks	2026/10/1	2026/10/1	critical
355138	Rocky Linux 8 [CIQ] 安全性更新：nodejs / nodejs-debuginfo / nodejs-debugsource / nodejs-devel / etc 多個弱點（crlsa-2026_8339）	Nessus	Rocky Linux Local Security Checks	2026/10/1	2026/10/1	high
299696	Linux Distros 未修補的弱點：CVE-2026-26996	Nessus	Misc.	2026/2/20	2026/9/2	high
305944	AlmaLinux 10：nodejs22 (ALSA-2026:7080)	Nessus	Alma Linux Local Security Checks	2026/4/10	2026/4/10	critical
306067	RHEL 10：nodejs24 (RHSA-2026:7675)	Nessus	Red Hat Local Security Checks	2026/4/13	2026/4/13	critical
306516	AlmaLinux 10：nodejs24 (ALSA-2026:7675)	Nessus	Alma Linux Local Security Checks	2026/4/15	2026/4/21	critical
307261	MiracleLinux 9：nodejs:22 (AXSA:2026-446:01)	Nessus	Miracle Linux Local Security Checks	2026/4/17	2026/4/22	critical
354920	Rocky Linux 9 [CIQ] 安全性更新：nodejs / nodejs-debuginfo / nodejs-debugsource / nodejs-devel / etc 多個弱點（crlsa-2026_7896）	Nessus	Rocky Linux Local Security Checks	2026/10/1	2026/10/1	high

偵測

搜尋 Plugin

critical

high

high

critical

critical

critical

critical

high