There are packages installed that are affected by a vulnerability referenced in the following CVE:

  - Impact: The undici WebSocket client enforces maxPayloadSize per-frame but does not enforce the cumulative
    size of fragmented uncompressed messages. A malicious WebSocket server can stream many small fragments
    that each pass per-frame validation but collectively exceed the configured limit, causing unbounded memory
    growth in the client process. The result is memory exhaustion and a denial of service. Affected
    applications are those using the undici WebSocket client (new WebSocket(...)) that can be induced to
    connect to an attacker-controlled or compromised WebSocket endpoint. This is a regression specific to
    undici 8.1.0. The 6.25.0 line shipped the equivalent cumulative check from the start and is unaffected.
    The 7.x line never had the maxPayloadSize feature and is also unaffected. Patches: Upgrade to undici >=
    8.5.0. Workarounds: No workaround is available. The fix must be applied through an upgrade.
    (CVE-2026-9675)

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且廠商未提供可用的修補程式。

  - 影響：undici WebSocket 用戶端會強制執行每幀 maxPayloadSize，但不會強制執行片段化未壓縮訊息的累積大小。惡意 WebSocket 伺服器可以串流許多小片段，每個片段都通過每幀驗證，但總共超過了設定的限制，從而導致用戶端處理程序中無限的記憶體增長。結果是記憶體耗盡和拒絕服務。受影響的應用程式是那些使用 undici WebSocket 用戶端 （新的 WebSocket（...）） 的應用程式，這些用戶端可能會被誘導連接到攻擊者控制或受損的 WebSocket 端點。這是 undici 8.1.0特有的迴歸。該 6.25.0 生產線從一開始就運送了對等的累積檢查，並且不受影響。
    該行 7.x 從未具有 maxPayloadSize 功能，也不受影響。修補程式：升級至 undici >= 8.5.0。因應措施：沒有可用的因應措施。必須透過升級套用修正程式。
    (CVE-2026-9675)

請注意，Nessus 依賴供應商報告的套件存在。

在主機上偵測到的 nodejs 模組 Undici 的版本是 之前的版本8.1.x8.5.0。因此會受到一個拒絕服務弱點影響：

  - undici WebSocket 用戶端會強制執行每個框架的 maxPayloadSize，但不會強制執行片段化未壓縮訊息的累積大小。惡意 WebSocket 伺服器可以串流許多小片段，每個片段都通過每幀驗證，但總共超過了設定的限制，從而導致用戶端處理程序中無限的記憶體增長。（CVE-2026-9675）

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

主机上检测到的 nodejs 模块 Undici 的版本8.1.x8.5.0低于 。因此，其受到拒绝服务漏洞的影响：

  - undici WebSocket 客户端会强制执行每帧 maxPayloadSize，但未强制执行拆分的未压缩消息的累积大小。恶意 WebSocket 服务器可以流式传输许多小片段，每个片段都通过了每帧验证，但加起来都超过了配置的限制，从而导致客户端进程中无限制的内存增长。（CVE-2026-9675）

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - 影响：undici WebSocket 客户端会强制执行每帧 maxPayloadSize，但未强制执行拆分的未压缩消息的累积大小。恶意 WebSocket 服务器可以流式传输许多小片段，每个片段都通过了每帧验证，但加起来都超过了配置的限制，从而导致客户端进程中无限制的内存增长。其结果是内存耗尽和拒绝服务。受影响的应用程序是那些使用 undici WebSocket 客户端（新 WebSocket（...）），可被引诱连接到受攻击者控制或遭到破坏的 WebSocket 端点的应用程序。这是特定于 undici 8.1.0的回归。该 6.25.0 生产线从一开始就发送了等效的累积检查，不受影响。
    该 7.x 生产线从未有过 maxPayloadSize 功能，因此也不受影响。修补程序：升级到 undici >= 8.5.0。变通方案：目前尚无可用的变通方案。必须通过升级应用此补丁。
    (CVE-2026-9675)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - 影響:undici WebSocket クライアントはフレームごとの maxPayloadSize を強制しますが、断片化した非圧縮メッセージの累積サイズは強制しません。悪意のあるWebSocketサーバーが、フレームごとの検証をパスするものの、構成された制限を超えている多くの小さなフラグメントをストリーミングできるため、クライアントプロセスで際限のないメモリ増加が引き起こされます。その結果、メモリの枯渇とサービス拒否が発生します。影響を受けるアプリケーションは、undici WebSocket クライアント(新しい WebSocket(...))を使用しているアプリケーションであり、攻撃者がコントロールしているか、危険にさらされている WebSocket エンドポイントに接続するように誘導される可能性があります。これは、undici 8.1.0特有の回帰です。6.25.0ラインは最初から同等の累積チェックを出荷しており、影響を受けません。
    7.xラインには maxPayloadSize 機能がなく、これも影響を受けません。パッチ:undici >= 8.5.0 にアップグレードしてください。回避策:利用できる回避策はありません。アップグレードを通じて修正を適用する必要があります。
    (CVE-2026-9675)

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

ホストで検出された nodejs モジュール Undici は、8.5.0 より前のバージョン 8.1.x です。したがって、サービス拒否の脆弱性の影響を受けます。

  - undici WebSocket クライアントはフレームごとの maxPayloadSize を強制しますが、断片化した非圧縮メッセージの累積サイズは強制しません。悪意のあるWebSocketサーバーが、フレームごとの検証をパスするものの、構成された制限を超えている多くの小さなフラグメントをストリーミングできるため、クライアントプロセスで際限のないメモリ増加が引き起こされます。(CVE-2026-9675)

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

The Linux/Unix host has one or more packages installed that are impacted by a vulnerability without a vendor supplied patch available.

  - Impact: The undici WebSocket client enforces maxPayloadSize per-frame but does not enforce the cumulative     size of fragmented uncompressed messages. A malicious WebSocket server can stream many small fragments     that each pass per-frame validation but collectively exceed the configured limit, causing unbounded memory     growth in the client process. The result is memory exhaustion and a denial of service. Affected     applications are those using the undici WebSocket client (new WebSocket(...)) that can be induced to     connect to an attacker-controlled or compromised WebSocket endpoint. This is a regression specific to     undici 8.1.0. The 6.25.0 line shipped the equivalent cumulative check from the start and is unaffected.
    The 7.x line never had the maxPayloadSize feature and is also unaffected. Patches: Upgrade to undici >=     8.5.0. Workarounds: No workaround is available. The fix must be applied through an upgrade.
    (CVE-2026-9675)

Note that Nessus relies on the presence of the package as reported by the vendor.

The nodejs module Undici detected on the host is version 8.1.x prior to 8.5.0. It is, therefore, affected by a denial of service vulnerability:

  - The undici WebSocket client enforces maxPayloadSize per-frame but does not enforce the cumulative size of     fragmented uncompressed messages. A malicious WebSocket server can stream many small fragments that each     pass per-frame validation but collectively exceed the configured limit, causing unbounded memory growth in     the client process. (CVE-2026-9675)

Note that Nessus has not tested for this issue but has instead relied only on the application's self-reported version number.

ID	名稱	產品	系列	已發布	已更新	嚴重性
443557	SCA: security update for undici (GHSA-38rv-x7px-6hhq)	Tenable Self-Hosted Container Security	SCA Checks	2026/6/19	2026/7/2	high
443557	SCA: security update for undici (GHSA-38rv-x7px-6hhq)	Tenable Cloud Security	SCA Checks	2026/6/19	2026/7/2	high
321575	Linux Distros 未修補弱點：CVE-2026-9675	Nessus	Misc.	2026/6/20	2026/7/16	high
322410	Node.js模組 undici 8.1.x < 8.5.0 DoS （CVE-2026-9675）	Nessus	Misc.	2026/6/24	2026/6/26	high
322410	Node.js 模块 undici 8.1.x < 8.5.0 DoS （CVE-2026-9675）	Nessus	Misc.	2026/6/24	2026/6/26	high
321575	Linux Distros 未修补的漏洞：CVE-2026-9675	Nessus	Misc.	2026/6/20	2026/7/16	high
321575	Linux Distros のパッチ未適用の脆弱性: CVE-2026-9675	Nessus	Misc.	2026/6/20	2026/7/16	high
322410	Node.js モジュール undici 8.1.x < 8.5.0 DoS(CVE-2026-9675)	Nessus	Misc.	2026/6/24	2026/6/26	high
321575	Linux Distros Unpatched Vulnerability : CVE-2026-9675	Nessus	Misc.	2026/6/20	2026/7/16	high
322410	Node.js Module Undici 8.1.x < 8.5.0 DoS (CVE-2026-9675)	Nessus	Misc.	2026/6/24	2026/6/26	high

偵測

搜尋 Plugin

high

high

high

high

high

high

high

high

high

high