遠端 CentOS Linux 8 主機上安裝的套件受到 CESA-2021: 0548 公告中提及的多個弱點影響。

  - npm：透過記錄洩漏敏感資訊 (CVE-2020-15095)

  - nodejs-ajv：透過 ajv.validate 函式中的特製 JSON 配置造成原型污染 (CVE-2020-15366)

  - nodejs-yargs-parser：原型污染弱點 (CVE-2020-7608)

  - nodejs-npm-user-validate：驗證使用者電子郵件時輸入驗證不當導致 ReDoS (CVE-2020-7754)

  - nodejs-y18n：原型污染弱點 (CVE-2020-7774)

  - nodejs-ini：透過惡意 INI 檔案可造成原型污染 (CVE-2020-7788)

  - nodejs-dot-prop：原型污染 (CVE-2020-8116)

  - libuv：realpath 中存在緩衝區溢位問題 (CVE-2020-8252)

  - nodejs：TLS 實作中的釋放後使用問題 (CVE-2020-8265)

  - nodejs：透過 http 要求中標頭欄位的兩個複本造成 HTTP 要求走私 (CVE-2020-8287)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Oracle Linux 8 主機中安裝的套件受到 ELSA-2021-0549 公告中提及的多個弱點影響。

  - 這會影響 1.0.1 版之前的 npm-user-validate 套件。驗證使用者電子郵件的 regex 在處理以 @ 字元開頭的長輸入字串時所花費的時間會以指數倍增加。(CVE-2020-7754)

  - 在 1.3.2 之前版本和 2.0.0 版中，mixin-deep 容易受到原型污染影問題影響。mixin-deep 函式可能遭到誘騙，使用構造函式負載添加或修改 Object.prototype 的屬性。(CVE-2019-10746)

  - 在比 3.0.1 舊的版本中，set-value 容易受到原型污染問題影響。mixin-deep 函式可能遭到誘騙，使用構造函式、原型和 _proto_ 負載中的任一個添加或修改 Object.prototype 的屬性。(CVE-2019-10747)

  - 這會影響 1.3.6 版之前的 ini 套件。如果攻擊者將惡意 INI 檔案提交至會使用 ini.parse 剖析檔案的應用程式，其會污染應用程式上的原型。視內容而定，此問題可能會遭到進一步利用。(CVE-2020-7788)

  10.23.1、12.20.1、14.15.4、15.5.1 之前的 Node.js 版本容易受到其 TLS 實作中的釋放後使用錯誤影響。寫入啟用 TLS 的通訊端時，node: : StreamBase: : Write 會呼叫 node: : TLSWrap: : DoWrite，並使用新配置的 WriteWrap 物件作為第一個引數。如果 DoWrite 方法未傳回錯誤，此物件會作為 StreamWriteResult 結構的一部分傳回給呼叫者。攻擊者可利用此錯誤損毀記憶體，進而導致拒絕服務或其他形式的利用。(CVE-2020-8265)

  10.23.1、12.20.1、14.15.4、15.5.1 之前的 Node.js 版本允許 HTTP 要求中存在兩個標頭欄位副本，例如兩個 Transfer-Encoding 標頭欄位。在此情況下，Node.js 會識別第一個標頭欄位，並忽略第二個標頭欄位。這可導致 HTTP 要求走私。(CVE-2020-8287)

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼。

遠端 CentOS Linux 8 主機上安裝的套件受到 CESA-2021: 0551 公告中提及的多個弱點影響。

  - nodejs-ajv：透過 ajv.validate 函式中的特製 JSON 配置造成原型污染 (CVE-2020-15366)

  - nodejs-npm-user-validate：驗證使用者電子郵件時輸入驗證不當導致 ReDoS (CVE-2020-7754)

  - nodejs-y18n：原型污染弱點 (CVE-2020-7774)

  - nodejs-ini：透過惡意 INI 檔案可造成原型污染 (CVE-2020-7788)

  - nodejs：TLS 實作中的釋放後使用問題 (CVE-2020-8265)

  - c-ares：ares_parse_{a,aaaa}_reply() naddrttls 驗證不充分造成 DoS (CVE-2020-8277)

  - nodejs：透過 http 要求中標頭欄位的兩個複本造成 HTTP 要求走私 (CVE-2020-8287)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Redhat Enterprise Linux 8 主機上安裝的套件受到 RHSA-2021: 0549 公告中提及的多個弱點影響。

  - nodejs-deep-extend：原型污染允許攻擊者修改物件屬性 (CVE-2018-3750)

  - nodejs-mixin-deep：mixin-deep 函式中的原型污染 (CVE-2019-10746)

  - nodejs-set-value：set-value 函式中的原型污染 (CVE-2019-10747)

  - nodejs-npm-user-validate：驗證使用者電子郵件時輸入驗證不當導致 ReDoS (CVE-2020-7754)

  - nodejs-ini：透過惡意 INI 檔案可造成原型污染 (CVE-2020-7788)

  - nodejs：TLS 實作中的釋放後使用問題 (CVE-2020-8265)

  - nodejs：透過 http 要求中標頭欄位的兩個複本造成 HTTP 要求走私 (CVE-2020-8287)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Redhat Enterprise Linux 8 主機上安裝的套件受到 RHSA-2021: 0548 公告中提及的多個弱點影響。

  - npm：透過記錄洩漏敏感資訊 (CVE-2020-15095)

  - nodejs-ajv：透過 ajv.validate 函式中的特製 JSON 配置造成原型污染 (CVE-2020-15366)

  - nodejs-yargs-parser：原型污染弱點 (CVE-2020-7608)

  - nodejs-npm-user-validate：驗證使用者電子郵件時輸入驗證不當導致 ReDoS (CVE-2020-7754)

  - nodejs-y18n: 原型污染弱點 (CVE-2020-7774)

  - nodejs-ini：透過惡意 INI 檔案可造成原型污染 (CVE-2020-7788)

  - nodejs-dot-prop：原型污染 (CVE-2020-8116)

  - libuv：realpath 中存在緩衝區溢位問題 (CVE-2020-8252)

  - nodejs：TLS 實作中的釋放後使用問題 (CVE-2020-8265)

  - nodejs：透過 http 要求中標頭欄位的兩個複本造成 HTTP 要求走私 (CVE-2020-8287)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Oracle Linux 8 主機中安裝的套件受到 ELSA-2021-0551 公告中提及的多個弱點影響。

  - 這會影響 1.0.1 版之前的 npm-user-validate 套件。驗證使用者電子郵件的 regex 在處理以 @ 字元開頭的長輸入字串時所花費的時間會以指數倍增加。(CVE-2020-7754)

  - 這會影響 1.3.6 版之前的 ini 套件。如果攻擊者將惡意 INI 檔案提交至會使用 ini.parse 剖析檔案的應用程式，其會污染應用程式上的原型。視內容而定，此問題可能會遭到進一步利用。(CVE-2020-7788)

  10.23.1、12.20.1、14.15.4、15.5.1 之前的 Node.js 版本容易受到其 TLS 實作中的釋放後使用錯誤影響。寫入啟用 TLS 的通訊端時，node: : StreamBase: : Write 會呼叫 node: : TLSWrap: : DoWrite，並使用新配置的 WriteWrap 物件作為第一個引數。如果 DoWrite 方法未傳回錯誤，此物件會作為 StreamWriteResult 結構的一部分傳回給呼叫者。攻擊者可利用此錯誤損毀記憶體，進而導致拒絕服務或其他形式的利用。(CVE-2020-8265)

  10.23.1、12.20.1、14.15.4、15.5.1 之前的 Node.js 版本允許 HTTP 要求中存在兩個標頭欄位副本，例如兩個 Transfer-Encoding 標頭欄位。在此情況下，Node.js 會識別第一個標頭欄位，並忽略第二個標頭欄位。這可導致 HTTP 要求走私。(CVE-2020-8287)

  - 如果 Node.js 應用程式可使攻擊者針對所選主機觸發 DNS 要求，則可藉由讓應用程式解析具有更多回應的 DNS 記錄，在 15.2.1 之前的版本以及 12.19.1 之前的 14.15.1 版中觸發拒絕服務。此問題已在 15.2.1， 14.15.1和 12.19.1 修正。
    (CVE-2020-8277)

  - 在 Ajv (即另一個 JSON Schema 驗證器) 的 ajv.validate() 中發現一個問題 6.12.2。可提供特製的 JSON 配置，允許透過原型污染執行其他程式碼。(雖然不建議使用不受信任的配置，但不受信任的配置最壞的情況應該是拒絕服務，而非程式碼執行。)(CVE-2020-15366)

  - 這會影響 y18n 套件 3.2.2、4.0.1 和 5.0.5 之前版本。透過 po6ix: const y18n = require('y18n')();
    y18n.setLocale('__proto__'); y18n.updateLocale({polluted: true}); console.log(polluted); // true 進行概念性驗證 (CVE-2020-7774)

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼。

遠端 Oracle Linux 8 主機中安裝的套件受到 ELSA-2021-0548 公告中提及的多個弱點影響。

  - dot-prop npm 套件的 4.2.1 之前版本以及 5.x 版的 5.1.1 之前版本存在原型污染弱點，允許攻擊者添加任意屬性至 JavaScript 語言構造 (如物件)。
    (CVE-2020-8116)

  - 在 Node.js 使用的 libuv < 10.22.1、< 12.18.4 和 < 14.9.0 中，realpath 實作錯誤報斷緩衝區大小，若解析的路徑長於 256 位元組，可導致緩衝區溢位。(CVE-2020-8252)

  - npm CLI 6.14.6 之前版本容易受到透過記錄檔發起的資訊洩漏攻擊。CLI 支援下列 URL：//[[: ]@][: ][: ][/]。密碼值未編輯，且列印至 stdout 以及任何產生的記錄檔。(CVE-2020-15095)

  - yargs-parser 可能遭到誘騙，使用 __proto__ 負載添加或修改 Object.prototype 的屬性。(CVE-2020-7608)

  - 這會影響 1.0.1 版之前的 npm-user-validate 套件。驗證使用者電子郵件的 regex 在處理以 @ 字元開頭的長輸入字串時所花費的時間會以指數倍增加。(CVE-2020-7754)

  - 這會影響 1.3.6 版之前的 ini 套件。如果攻擊者將惡意 INI 檔案提交至會使用 ini.parse 剖析檔案的應用程式，其會污染應用程式上的原型。視內容而定，此問題可能會遭到進一步利用。(CVE-2020-7788)

  10.23.1、12.20.1、14.15.4、15.5.1 之前的 Node.js 版本容易受到其 TLS 實作中的釋放後使用錯誤影響。寫入啟用 TLS 的通訊端時，node: : StreamBase: : Write 會呼叫 node: : TLSWrap: : DoWrite，並使用新配置的 WriteWrap 物件作為第一個引數。如果 DoWrite 方法未傳回錯誤，此物件會作為 StreamWriteResult 結構的一部分傳回給呼叫者。攻擊者可利用此錯誤損毀記憶體，進而導致拒絕服務或其他形式的利用。(CVE-2020-8265)

  10.23.1、12.20.1、14.15.4、15.5.1 之前的 Node.js 版本允許 HTTP 要求中存在兩個標頭欄位副本，例如兩個 Transfer-Encoding 標頭欄位。在此情況下，Node.js 會識別第一個標頭欄位，並忽略第二個標頭欄位。這可導致 HTTP 要求走私。(CVE-2020-8287)

  - 這會影響 y18n 套件 3.2.2、4.0.1 和 5.0.5 之前版本。透過 po6ix: const y18n = require('y18n')();
    y18n.setLocale('__proto__'); y18n.updateLocale({polluted: true}); console.log(polluted); // true 進行概念性驗證 (CVE-2020-7774)

  - 在 Ajv (即另一個 JSON Schema 驗證器) 的 ajv.validate() 中發現一個問題 6.12.2。可提供特製的 JSON 配置，允許透過原型污染執行其他程式碼。(雖然不建議使用不受信任的配置，但不受信任的配置最壞的情況應該是拒絕服務，而非程式碼執行。)(CVE-2020-15366)

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼。

遠端 Redhat Enterprise Linux 7 主機上安裝的套件受到 RHSA-2021: 0521 公告中提及的多個弱點影響。

  - npm：透過記錄洩漏敏感資訊 (CVE-2020-15095)

  - nodejs-ajv：透過 ajv.validate 函式中的特製 JSON 配置造成原型污染 (CVE-2020-15366)

  - nodejs-yargs-parser：原型污染弱點 (CVE-2020-7608)

  - nodejs-npm-user-validate：驗證使用者電子郵件時輸入驗證不當導致 ReDoS (CVE-2020-7754)

  - nodejs-y18n: 原型污染弱點 (CVE-2020-7774)

  - nodejs-ini：透過惡意 INI 檔案可造成原型污染 (CVE-2020-7788)

  - nodejs-dot-prop：原型污染 (CVE-2020-8116)

  - libuv：realpath 中存在緩衝區溢位問題 (CVE-2020-8252)

  - nodejs：TLS 實作中的釋放後使用問題 (CVE-2020-8265)

  - nodejs：透過 http 要求中標頭欄位的兩個複本造成 HTTP 要求走私 (CVE-2020-8287)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Redhat Enterprise Linux 7 主機上安裝的套件受到 RHSA-2021: 0485 公告中提及的漏洞影響。

  - nodejs-deep-extend：原型污染允許攻擊者修改物件屬性 (CVE-2018-3750)

  - nodejs-mixin-deep：mixin-deep 函式中的原型污染 (CVE-2019-10746)

  - nodejs-set-value：set-value 函式中的原型污染 (CVE-2019-10747)

  - nodejs-npm-user-validate：驗證使用者電子郵件時輸入驗證不當導致 ReDoS (CVE-2020-7754)

  - nodejs-ini：透過惡意 INI 檔案可造成原型污染 (CVE-2020-7788)

  - nodejs：TLS 實作中的釋放後使用問題 (CVE-2020-8265)

  - nodejs：透過 http 要求中標頭欄位的兩個複本造成 HTTP 要求走私 (CVE-2020-8287)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 CentOS Linux 8 主機上安裝的套件受到 CESA-2021: 0549 公告中提及的多個弱點影響。

  - nodejs-deep-extend：原型污染允許攻擊者修改物件屬性 (CVE-2018-3750)

  - nodejs-mixin-deep：mixin-deep 函式中的原型污染 (CVE-2019-10746)

  - nodejs-set-value：set-value 函式中的原型污染 (CVE-2019-10747)

  - nodejs-npm-user-validate：驗證使用者電子郵件時輸入驗證不當導致 ReDoS (CVE-2020-7754)

  - nodejs-ini：透過惡意 INI 檔案可造成原型污染 (CVE-2020-7788)

  - nodejs：TLS 實作中的釋放後使用問題 (CVE-2020-8265)

  - nodejs：透過 http 要求中標頭欄位的兩個複本造成 HTTP 要求走私 (CVE-2020-8287)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Redhat Enterprise Linux 7 主機上安裝的套件受到 RHSA-2021: 0421 公告中提及的一個弱點影響。

  - nodejs-ajv：透過 ajv.validate 函式中的特製 JSON 配置造成原型污染 (CVE-2020-15366)

  - nodejs-npm-user-validate：驗證使用者電子郵件時輸入驗證不當導致 ReDoS (CVE-2020-7754)

  - nodejs-y18n: 原型污染弱點 (CVE-2020-7774)

  - nodejs-ini：透過惡意 INI 檔案可造成原型污染 (CVE-2020-7788)

  - nodejs：TLS 實作中的釋放後使用問題 (CVE-2020-8265)

  - c-ares：ares_parse_{a,aaaa}_reply() naddrttls 驗證不充分造成 DoS (CVE-2020-8277)

  - nodejs：透過 http 要求中標頭欄位的兩個複本造成 HTTP 要求走私 (CVE-2020-8287)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Redhat Enterprise Linux 8 主機上安裝的套件受到 RHSA-2021: 0551 公告中提及的多個弱點影響。

  - nodejs-ajv：透過 ajv.validate 函式中的特製 JSON 配置造成原型污染 (CVE-2020-15366)

  - nodejs-npm-user-validate：驗證使用者電子郵件時輸入驗證不當導致 ReDoS (CVE-2020-7754)

  - nodejs-y18n: 原型污染弱點 (CVE-2020-7774)

  - nodejs-ini：透過惡意 INI 檔案可造成原型污染 (CVE-2020-7788)

  - nodejs：TLS 實作中的釋放後使用問題 (CVE-2020-8265)

  - c-ares：ares_parse_{a,aaaa}_reply() naddrttls 驗證不充分造成 DoS (CVE-2020-8277)

  - nodejs：透過 http 要求中標頭欄位的兩個複本造成 HTTP 要求走私 (CVE-2020-8287)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

ID	名稱	產品	系列	已發布	已更新	嚴重性
146802	CentOS 8：nodejs: 10 (CESA-2021: 0548)	Nessus	CentOS Local Security Checks	2021/2/24	2024/1/19	critical
146636	Oracle Linux 8：nodejs：12 (ELSA-2021-0549)	Nessus	Oracle Linux Local Security Checks	2021/2/19	2024/1/22	critical
146548	CentOS 8：nodejs: 14 (CESA-2021: 0551)	Nessus	CentOS Local Security Checks	2021/2/16	2024/1/22	critical
146536	RHEL 8：nodejs: 12 (RHSA-2021: 0549)	Nessus	Red Hat Local Security Checks	2021/2/16	2024/4/28	critical
146547	RHEL 8：nodejs: 10 (RHSA-2021: 0548)	Nessus	Red Hat Local Security Checks	2021/2/16	2024/4/28	critical
146637	Oracle Linux 8：nodejs: 14 (ELSA-2021-0551)	Nessus	Oracle Linux Local Security Checks	2021/2/20	2024/1/22	critical
146638	Oracle Linux 8：nodejs：10 (ELSA-2021-0548)	Nessus	Oracle Linux Local Security Checks	2021/2/20	2024/1/22	critical
165111	RHEL 7：rh-nodejs10-nodejs (RHSA-2021: 0521)	Nessus	Red Hat Local Security Checks	2022/9/15	2023/10/11	critical
165165	RHEL 7：rh-nodejs12-nodejs (RHSA-2021: 0485)	Nessus	Red Hat Local Security Checks	2022/9/15	2024/4/28	critical
146539	CentOS 8：nodejs: 12 (CESA-2021: 0549)	Nessus	CentOS Local Security Checks	2021/3/11	2024/1/10	critical
165149	RHEL 7：rh-nodejs14-nodejs (RHSA-2021: 0421)	Nessus	Red Hat Local Security Checks	2022/9/15	2023/10/11	critical
146540	RHEL 8：nodejs: 14 (RHSA-2021: 0551)	Nessus	Red Hat Local Security Checks	2021/2/16	2024/4/28	critical

偵測

搜尋 Plugin

critical

critical

critical

critical

critical

critical

critical

critical

critical

critical

critical

critical