Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且供應商未提供可用的修補程式。

  - 「@npmcli/arborist」(用於計算相依性樹狀結構並管理 npm 命令行介面之「node_modules」資料夾階層的程式庫) 旨在保證符合套件相依性協定，且一律會執行套件內容擷取存入預期的資料夾。這部分是透過針對具有特定名稱的相依性，解析在「package.json」資訊清單中定義的相依性指定名稱，以及解決相衝突相依性的巢狀資料夾來完成的。當多個相依性僅在名稱的大小寫上有所不同時，Arborist 的內部資料結構會將其視為可共存於「node_modules」階層的相同層級中的獨立項目。不過，在區分大小寫的檔案系統 (例如 macOS 和 Windows) 上，情況並非如此。結合 symlink 相依性 (如「file:/some/path」)，這可讓攻擊者造成可將任意內容寫入檔案系統上任何位置的狀況。例如，「pwn-a」套件可在「package.json」檔案中定義相依性，如「foo: file:/some/path」。另一個套件「pwn-b」可定義相依性，例如「FOO: file:foo.tgz」。在區分大小寫的檔案系統上，如果安裝了「pwn-a」，之後又安裝了「pwn-b」，則「foo.tgz」的內容會寫入「/some/path」，以及任何現有的內容的「/some/path」會遭到移除。在不區分大小寫的檔案系統上使用 npm v7.20.6 或更舊版本的使用者可能會受到影響。此問題已在 @npmcli/arborist 2.8.2 中修補，其隨附於 npm v7.20.7 和更新版本。(CVE-2021-39134)

請注意，Nessus 依賴供應商報告的套件存在。

遠端主機上安裝的 Node.js 版本為 12.22.6 或 14.17.6 之前的版本。因此，會受到多種元件內多個遠端程式碼執行弱點影響，這是由於未充分驗證使用者輸入所致。未經驗證的遠端攻擊者可惡意利用此弱點，繞過驗證並執行任意命令。這些弱點導致的其他影響包括任意檔案寫入和建立。 

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼。

ID	名稱	產品	系列	已發布	已更新	嚴重性
224038	Linux Distros 未修補弱點：CVE-2021-39134	Nessus	Misc.	2025/3/5	2025/9/1	high
154232	Node.js 多個弱點 (2021 年 8 月 31 日安全性發佈)	Nessus	Misc.	2021/10/19	2024/1/9	high
195166	GLSA-202405-29：Node.js：多個弱點	Nessus	Gentoo Local Security Checks	2024/5/8	2024/5/8	critical

偵測

搜尋 Plugin

high

high

critical