The remote Debian 10 host has a package installed that is affected by multiple vulnerabilities as referenced in the dla-3221 advisory.

    -------------------------------------------------------------------------     Debian LTS Advisory DLA-3221-1                debian-lts@lists.debian.org     https://www.debian.org/lts/security/                       Guilhem Moulin     December 05, 2022                             https://wiki.debian.org/LTS
    -------------------------------------------------------------------------

    Package        : node-cached-path-relative     Version        : 1.0.1-2+deb10u1     CVE ID         : CVE-2018-16472 CVE-2021-23518     Debian Bug     : #1004338

    Cristian-Alexandru Staicu discovered a prototype pollution vulnerability     in inode-cached-path-relative, a Node.js module used to cache (memoize)     the result of path.relative.

    CVE-2018-16472

        An attacker controlling both the path and the cached value, can         mount a prototype pollution attack and thus overwrite arbitrary         properties on Object.prototype, which may result in denial of         service.

    CVE-2021-23518

        The fix for CVE-2018-16472 was incomplete and other prototype         pollution vulnerabilities were found in the meantime, resulting in a         new CVE.

    For Debian 10 buster, these problems have been fixed in version     1.0.1-2+deb10u1.

    We recommend that you upgrade your node-cached-path-relative packages.

    For the detailed security status of node-cached-path-relative please refer to     its security tracker page at:
    https://security-tracker.debian.org/tracker/node-cached-path-relative

    Further information about Debian LTS security advisories, how to apply     these updates to your system and frequently asked questions can be     found at: https://wiki.debian.org/LTS     Attachment:
    signature.asc     Description: PGP signature

Tenable has extracted the preceding description block directly from the Debian security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

The Linux/Unix host has one or more packages installed that are impacted by a vulnerability without a vendor supplied patch available.

  - The package cached-path-relative before 1.1.0 are vulnerable to Prototype Pollution via the cache variable     that is set as {} instead of Object.create(null) in the cachedPathRelative function, which allows access     to the parent prototype properties when the object is used to create the cached relative path. When using     the origin path as __proto__, the attribute of the object is accessed instead of a path. **Note:** This     vulnerability derives from an incomplete fix in https://security.snyk.io/vuln/SNYK-JS-     CACHEDPATHRELATIVE-72573 (CVE-2021-23518)

Note that Nessus relies on the presence of the package as reported by the vendor.

リモートの Debian 10 ホストには、dla-3221 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

  - cached-path-relative バージョン <=1.0.1 のプロトタイプ汚染攻撃により、攻撃者が Object.prototype にプロパティを注入し、それがプロトタイプチェーンを通じてすべての JS オブジェクトに継承され、DoS 攻撃を引き起こす可能性があります。(CVE-2018-16472)

  - 1.1.0 より前の cached-path-relative パッケージには、cachedPathRelative 関数内で Object.create(null) の代わりに {} と設定されたキャッシュ変数による Prototype Pollution の脆弱性があります。これにより、キャッシュされた相対パス作成時に親のプロトタイププロパティにアクセスする可能性があります。生成元パスを __proto__ として使用する場合、パスの代わりにオブジェクトの属性にアクセスします。**注: **この脆弱性は、https://security.snyk.io/vuln/SNYK-JS-CACHEDPATHRELATIVE-72573 の不完全な修正に由来します (CVE-2021-23518)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - 1.1.0 より前の cached-path-relative パッケージには、cachedPathRelative 関数内で Object.create(null) の代わりに {} と設定されたキャッシュ変数による Prototype Pollution の脆弱性があります。これにより、キャッシュされた相対パス作成時に親のプロトタイププロパティにアクセスする可能性があります。オリジンパスを __proto__ として使用する場合、パスの代わりにオブジェクトの属性がアクセスされます。 **注意** この脆弱性は、 https://security.snyk.io/vuln/SNYK-JS-CACHEDPATHRELATIVE-72573 の修正が不完全なために派生しますCVE-2021-23518

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

远程 Debian 10 主机上安装的程序包受到 dla-3221 公告中提及的多个漏洞影响。

  - 1.0.1 及之前的 cached-path-relative 版本中的原型污染攻击允许攻击者在 Object.prototype 中注入属性，然后通过原型链由所有 JS 对象继承，从而导致 DoS 攻击。 (CVE-2018-16472)

  - 1.1.0 之前的 cached-path-relative 程序包因缓存变量在 cachedPathRelative 函数中设置为 {} 而不是 Object.create(null) 而容易受到原型污染的影响，当对象为用于创建缓存的相对路径时，允许访问父原型属性。当使用原始路径作为 __proto__ 时，访问对象的属性而不是路径。 **注意：** 此漏洞源自 https://security.snyk.io/vuln/SNYK-JS-CACHEDPATHRELATIVE-72573 (CVE-2021-23518) 中的不完整修复

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - 1.1.0 之前的 cached-path-relative 程序包因缓存变量在 cachedPathRelative 函数中设置为 {} 而不是 Object.create(null) 而容易受到原型污染的影响，当对象为用于创建缓存的相对路径时，允许访问父原型属性。使用源路径作为 __proto__ 时访问对象的属性而非路径。 **注意** 此漏洞来源于 https://security.snyk.io/vuln/SNYK-JS-CACHEDPATHRELATIVE-72573 中的不完整补丁 (CVE-2021-23518)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

遠端 Debian 10 主機上安裝的一個套件受到 dla-3221 公告中提及的多個弱點影響。

  - cached-path-relative 版本 <=1.0.1 中的原型污染攻擊允許攻擊者在 Object.prototype 上插入內容，然後透過原型鏈由所有 JS 物件繼承，進而造成 DoS 攻擊。(CVE-2018-16472)

  - 透過在 cachedPathRelative 函數中設定為 {} 而不是 Object.create(null) 的快取變量，1.1.0 版之前的 cached-path-relative 套件容易受到原型污染攻擊的影響。當對像用於建立快取的相對路徑時，該漏洞允許攻擊者訪問上級原型屬性。使用原始路徑 as __proto__ 時，會存取物件的屬性，而非路徑。**注意：** 此弱點源自 https://security.snyk.io/vuln/SNYK-JS-CACHEDPATHRELATIVE-72573 中的不完整修正 (CVE-2021-23518)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且廠商未提供可用的修補程式。

  - 透過在 cachedPathRelative 函數中設定為 {} 而不是 Object.create(null) 的快取變量，1.1.0 版之前的 cached-path-relative 套件容易受到原型污染攻擊的影響。當對像用於建立快取的相對路徑時，該漏洞允許攻擊者訪問上級原型屬性。將原始路徑作為 __proto__ 使用時系統會存取物件的屬性而非路徑。 **注意** 此弱點源自 https://security.snyk.io/vuln/SNYK-JS-CACHEDPATHRELATIVE-72573 中不完整的修正 (CVE-2021-23518)

請注意，Nessus 的判定取決於廠商所報告的套件是否存在。

ID	Name	Product	Family	Published	Updated	Severity
168403	Debian dla-3221 : node-cached-path-relative - security update	Nessus	Debian Local Security Checks	12/5/2022	1/22/2025	critical
259286	Linux Distros Unpatched Vulnerability : CVE-2021-23518	Nessus	Misc.	8/30/2025	8/30/2025	critical
168403	Debian DLA-3221-1: node-cached-path-relative - LTS のセキュリティ更新	Nessus	Debian Local Security Checks	12/5/2022	1/22/2025	critical
259286	Linux Distros のパッチ未適用の脆弱性: CVE-2021-23518	Nessus	Misc.	8/30/2025	8/30/2025	critical
168403	Debian DLA-3221-1：node-cached-path-relative - LTS 安全更新	Nessus	Debian Local Security Checks	12/5/2022	1/22/2025	critical
259286	Linux Distros 未修补的漏洞：CVE-2021-23518	Nessus	Misc.	8/30/2025	8/30/2025	critical
168403	Debian DLA-3221-1：node-cached-path-relative - LTS 安全性更新	Nessus	Debian Local Security Checks	12/5/2022	1/22/2025	critical
259286	Linux Distros 未修補的弱點：CVE-2021-23518	Nessus	Misc.	8/30/2025	8/30/2025	critical

Detections

Analytics

Plugins Search

critical

critical

critical

critical

critical

critical

critical

critical