The remote SUSE Linux SLES15 / SLES_SAP15 host has packages installed that are affected by multiple vulnerabilities as referenced in the SUSE-SU-2022:3250-1 advisory.

  - npm pack ignores root-level .gitignore and .npmignore file exclusion directives when run in a workspace or     with a workspace flag (ie. `--workspaces`, `--workspace=<name>`). Anyone who has run `npm pack` or `npm     publish` inside a workspace, as of v7.9.0 and v7.13.0 respectively, may be affected and have published     files into the npm registry they did not intend to include. Users should upgrade to the latest, patched     version of npm v8.11.0, run: npm i -g npm@latest . Node.js versions v16.15.1, v17.19.1, and v18.3.0     include the patched v8.11.0 version of npm. (CVE-2022-29244)

  - undici is an HTTP/1.1 client, written from scratch for Node.js. It is possible to inject CRLF sequences     into request headers in undici in versions less than 5.7.1. A fix was released in version 5.8.0.
    Sanitizing all HTTP headers from untrusted sources to eliminate `\r ` is a workaround for this issue.
    (CVE-2022-31150)

  - undici is an HTTP/1.1 client, written from scratch for Node.js.`=< undici@5.8.0` users are vulnerable to
    _CRLF Injection_ on headers when using unsanitized input as request headers, more specifically, inside the     `content-type` header. Example: ``` import { request } from 'undici' const unsanitizedContentTypeInput =     'application/json\r \r GET /foo2 HTTP/1.1' await request('http://localhost:3000, { method: 'GET',     headers: { 'content-type': unsanitizedContentTypeInput }, }) ``` The above snippet will perform two     requests in a single `request` API call: 1) `http://localhost:3000/` 2) `http://localhost:3000/foo2` This     issue was patched in Undici v5.8.1. Sanitize input when sending content-type headers using user input as a     workaround. (CVE-2022-35948)

  - undici is an HTTP/1.1 client, written from scratch for Node.js.`undici` is vulnerable to SSRF (Server-side     Request Forgery) when an application takes in **user input** into the `path/pathname` option of     `undici.request`. If a user specifies a URL such as `http://127.0.0.1` or `//127.0.0.1` ```js const undici     = require(undici) undici.request({origin: http://example.com, pathname: //127.0.0.1}) ``` Instead of     processing the request as `http://example.org//127.0.0.1` (or `http://example.org/http://127.0.0.1` when     `http://127.0.0.1 is used`), it actually processes the request as `http://127.0.0.1/` and sends it to     `http://127.0.0.1`. If a developer passes in user input into `path` parameter of `undici.request`, it can     result in an _SSRF_ as they will assume that the hostname cannot change, when in actual fact it can change     because the specified path parameter is combined with the base URL. This issue was fixed in     `undici@5.8.1`. The best workaround is to validate user input before passing it to the `undici.request`     call. (CVE-2022-35949)

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

The Linux/Unix host has one or more packages installed that are impacted by a vulnerability without a vendor supplied patch available.

  - undici is an HTTP/1.1 client, written from scratch for Node.js. It is possible to inject CRLF sequences     into request headers in undici in versions less than 5.7.1. A fix was released in version 5.8.0.
    Sanitizing all HTTP headers from untrusted sources to eliminate `\r\n` is a workaround for this issue.
    (CVE-2022-31150)

Note that Nessus relies on the presence of the package as reported by the vendor.

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - undici は、Node.js 用にゼロから書かれた HTTP/1.1 クライアントです。5.7.1 より前のバージョンでは、undici でリクエストヘッダーに CRLF シーケンスを挿入することが可能です。バージョン 5.8.0 で修正がリリースされました。
    この問題の回避策となるのは、信頼できないソースからのすべての HTTP ヘッダーをサニタイズして「\r\n」を排除することです。
    (CVE-2022-31150)

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且廠商未提供可用的修補程式。

  - undici 是 HTTP/1.1 用戶端針對 Node.js 從頭撰寫。在 5.7.1版之前的 undici 中可以將 CRLF 序列插入要求標頭中。已在版本 5.8.0中發布修正。
    清理未受信任來源的所有 HTTP 標頭以消除 `\r\n`是此問題的因應措施。
    (CVE-2022-31150)

請注意，Nessus 依賴供應商報告的套件存在。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - undici 是 HTTP/1.1 客户端是为 Node.js 从头编写。在低于 5.7.1的版本中可能将 CRLF 序列注入到 undici 中的请求标头。已在版本 5.8.0中发布一个补丁。
    审查不受信任来源的所有 HTTP 标头以消除“\r\n”是此问题的变通方案。
    (CVE-2022-31150)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

リモートの SUSE Linux SLES15 / openSUSE 15 ホストには、SUSE-SU-2022:3250-1 のアドバイザリに記載されている複数の脆弱性の影響を受けるパッケージがインストールされています。

  - npm パックは、ワークスペースで、またはワークスペースフラグ付きで実行される場合、root レベルの .gitignore および .npmignore ファイル除外ディレクティブを無視します (例:「--workspaces」、「--workspace=<name>」)。v7.9.0 や v7.13.0 では、ワークスペース内で「npm pack」や「npm publish」を実行したことがあるユーザーは、影響を受ける可能性があり、含めるつもりのない npm レジストリにファイルを公開している可能性があります。ユーザーは、パッチが適用された最新の npm v8.11.0 にアップグレードし、npm i -g npm@latest を実行する必要があります。Node.js バージョン v16.15.1、v17.19.1、および v18.3.0 には、パッチが適用された npm の v8.11.0 バージョンが含まれています。(CVE-2022-29244)

  - undici は、Node.js 用にゼロから書かれた HTTP/1.1 クライアントです。5.7.1 より前のバージョンでは、undici でリクエストヘッダーに CRLF シーケンスを挿入することが可能です。バージョン 5.8.0 で修正がリリースされました。
    この問題の回避策となるのは、信頼できないソースからのすべての HTTP ヘッダーをサニタイズして「\r\n」を排除することです。
    (CVE-2022-31150)

  - undici は、Node.js 用にゼロから書かれた HTTP/1.1 クライアントです。「=< undici@5.8.0」ユーザーは
    サニタイズされていない入力をリクエストヘッダーとして使用する場合のヘッダー、より具体的には「content-type」ヘッダー内の _CRLF Injection_ に対して脆弱です。例 : ``` import { request } from 'undici' const unsanitizedContentTypeInput = 'application/json\r\n\r\nGET /foo2 HTTP/1.1' await request('http://localhost:3000, { メソッド: 'GET', ヘッダー: { 'content-type': unsanitizedContentTypeInput }, }) ``` 上記のスニペットは、単一の「request」API 呼び出しで 2 つのリクエストを実行します。1) `http://localhost:3000/` 2) `http://localhost:3000/foo2` この問題は、Undici v5.8.1 でパッチが適用されています。ユーザー入力を回避策として使用して content-type ヘッダーを送信する際に、入力をサニタイズします。(CVE-2022-35948)

  - undici は HTTP/1.1 クライアントであり、Node.js 用にゼロから記述されています。「undici」は、アプリケーションが「undici.request」の「path/pathname」オプションに **ユーザー入力** を取り込んだ場合に、SSRF (サーバーサイドリクエスト偽造) に対して脆弱です。ユーザーが `http://127.0.0.1` または `//127.0.0.1` ``js const undici = require(undici) undici.request({オリジン:http://example.com, パス名: //127.0.0.1}) ``` などの URL を、`http://example.org//127.0.0.1` (または `http://127.0.0.1 が使用される場合は `http://example.org/http://127.0.0.1`) として処理する代わりに指定した場合、実際にはリクエストを `http://127.0.0.1/` として処理し、それを `http://127.0.0.1` に送信します。開発者がユーザー入力を「undici.request」の「path」パラメーターに渡すと、ホスト名は変更できないと想定するため、_SSRF_ が発生する可能性があります。実際には、指定されたパスパラメーターがベース URL と組み合わされているため、変更される可能性があります。この問題は「undici@5.8.1」で修正されました。最善の回避策は、「undici.request」呼び出しに渡す前にユーザー入力を検証することです。(CVE-2022-35949)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

The remote SUSE Linux SLES12 / SLES_SAP12 host has packages installed that are affected by multiple vulnerabilities as referenced in the SUSE-SU-2022:3196-1 advisory.

  - npm pack ignores root-level .gitignore and .npmignore file exclusion directives when run in a workspace or     with a workspace flag (ie. `--workspaces`, `--workspace=<name>`). Anyone who has run `npm pack` or `npm     publish` inside a workspace, as of v7.9.0 and v7.13.0 respectively, may be affected and have published     files into the npm registry they did not intend to include. Users should upgrade to the latest, patched     version of npm v8.11.0, run: npm i -g npm@latest . Node.js versions v16.15.1, v17.19.1, and v18.3.0     include the patched v8.11.0 version of npm. (CVE-2022-29244)

  - undici is an HTTP/1.1 client, written from scratch for Node.js. It is possible to inject CRLF sequences     into request headers in undici in versions less than 5.7.1. A fix was released in version 5.8.0.
    Sanitizing all HTTP headers from untrusted sources to eliminate `\r ` is a workaround for this issue.
    (CVE-2022-31150)

  - undici is an HTTP/1.1 client, written from scratch for Node.js.`=< undici@5.8.0` users are vulnerable to
    _CRLF Injection_ on headers when using unsanitized input as request headers, more specifically, inside the     `content-type` header. Example: ``` import { request } from 'undici' const unsanitizedContentTypeInput =     'application/json\r \r GET /foo2 HTTP/1.1' await request('http://localhost:3000, { method: 'GET',     headers: { 'content-type': unsanitizedContentTypeInput }, }) ``` The above snippet will perform two     requests in a single `request` API call: 1) `http://localhost:3000/` 2) `http://localhost:3000/foo2` This     issue was patched in Undici v5.8.1. Sanitize input when sending content-type headers using user input as a     workaround. (CVE-2022-35948)

  - undici is an HTTP/1.1 client, written from scratch for Node.js.`undici` is vulnerable to SSRF (Server-side     Request Forgery) when an application takes in **user input** into the `path/pathname` option of     `undici.request`. If a user specifies a URL such as `http://127.0.0.1` or `//127.0.0.1` ```js const undici     = require(undici) undici.request({origin: http://example.com, pathname: //127.0.0.1}) ``` Instead of     processing the request as `http://example.org//127.0.0.1` (or `http://example.org/http://127.0.0.1` when     `http://127.0.0.1 is used`), it actually processes the request as `http://127.0.0.1/` and sends it to     `http://127.0.0.1`. If a developer passes in user input into `path` parameter of `undici.request`, it can     result in an _SSRF_ as they will assume that the hostname cannot change, when in actual fact it can change     because the specified path parameter is combined with the base URL. This issue was fixed in     `undici@5.8.1`. The best workaround is to validate user input before passing it to the `undici.request`     call. (CVE-2022-35949)

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

The remote SUSE Linux SLES15 / SLES_SAP15 host has packages installed that are affected by multiple vulnerabilities as referenced in the SUSE-SU-2022:3251-1 advisory.

  - npm pack ignores root-level .gitignore and .npmignore file exclusion directives when run in a workspace or     with a workspace flag (ie. `--workspaces`, `--workspace=<name>`). Anyone who has run `npm pack` or `npm     publish` inside a workspace, as of v7.9.0 and v7.13.0 respectively, may be affected and have published     files into the npm registry they did not intend to include. Users should upgrade to the latest, patched     version of npm v8.11.0, run: npm i -g npm@latest . Node.js versions v16.15.1, v17.19.1, and v18.3.0     include the patched v8.11.0 version of npm. (CVE-2022-29244)

  - undici is an HTTP/1.1 client, written from scratch for Node.js. It is possible to inject CRLF sequences     into request headers in undici in versions less than 5.7.1. A fix was released in version 5.8.0.
    Sanitizing all HTTP headers from untrusted sources to eliminate `\r ` is a workaround for this issue.
    (CVE-2022-31150)

  - undici is an HTTP/1.1 client, written from scratch for Node.js.`=< undici@5.8.0` users are vulnerable to
    _CRLF Injection_ on headers when using unsanitized input as request headers, more specifically, inside the     `content-type` header. Example: ``` import { request } from 'undici' const unsanitizedContentTypeInput =     'application/json\r \r GET /foo2 HTTP/1.1' await request('http://localhost:3000, { method: 'GET',     headers: { 'content-type': unsanitizedContentTypeInput }, }) ``` The above snippet will perform two     requests in a single `request` API call: 1) `http://localhost:3000/` 2) `http://localhost:3000/foo2` This     issue was patched in Undici v5.8.1. Sanitize input when sending content-type headers using user input as a     workaround. (CVE-2022-35948)

  - undici is an HTTP/1.1 client, written from scratch for Node.js.`undici` is vulnerable to SSRF (Server-side     Request Forgery) when an application takes in **user input** into the `path/pathname` option of     `undici.request`. If a user specifies a URL such as `http://127.0.0.1` or `//127.0.0.1` ```js const undici     = require(undici) undici.request({origin: http://example.com, pathname: //127.0.0.1}) ``` Instead of     processing the request as `http://example.org//127.0.0.1` (or `http://example.org/http://127.0.0.1` when     `http://127.0.0.1 is used`), it actually processes the request as `http://127.0.0.1/` and sends it to     `http://127.0.0.1`. If a developer passes in user input into `path` parameter of `undici.request`, it can     result in an _SSRF_ as they will assume that the hostname cannot change, when in actual fact it can change     because the specified path parameter is combined with the base URL. This issue was fixed in     `undici@5.8.1`. The best workaround is to validate user input before passing it to the `undici.request`     call. (CVE-2022-35949)

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

リモートの SUSE Linux SLES12 / SLES_SAP12 ホストには、SUSE-SU-2022:3196-1 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

  - npm パックは、ワークスペースで、またはワークスペースフラグ付きで実行される場合、root レベルの .gitignore および .npmignore ファイル除外ディレクティブを無視します (例:「--workspaces」、「--workspace=<name>」)。v7.9.0 や v7.13.0 では、ワークスペース内で「npm pack」や「npm publish」を実行したことがあるユーザーは、影響を受ける可能性があり、含めるつもりのない npm レジストリにファイルを公開している可能性があります。ユーザーは、パッチが適用された最新の npm v8.11.0 にアップグレードし、npm i -g npm@latest を実行する必要があります。Node.js バージョン v16.15.1、v17.19.1、および v18.3.0 には、パッチが適用された npm の v8.11.0 バージョンが含まれています。(CVE-2022-29244)

  - undici は、Node.js 用にゼロから書かれた HTTP/1.1 クライアントです。5.7.1 より前のバージョンでは、undici でリクエストヘッダーに CRLF シーケンスを挿入することが可能です。バージョン 5.8.0 で修正がリリースされました。
    この問題の回避策となるのは、信頼できないソースからのすべての HTTP ヘッダーをサニタイズして「\r 」を排除することです。
    (CVE-2022-31150)

  - undici は、Node.js 用にゼロから書かれた HTTP/1.1 クライアントです。「=< undici@5.8.0」ユーザーは
    サニタイズされていない入力をリクエストヘッダーとして使用する場合のヘッダー、より具体的には「content-type」ヘッダー内の _CRLF Injection_ に対して脆弱です。例 : ``` import { request } from 'undici' const unsanitizedContentTypeInput = 'application/json\r \rGET /foo2 HTTP/1.1' await request('http://localhost:3000, { method: 'GET', headers: { 'content-type': unsanitizedContentTypeInput }, }) ``` 上記のスニペットは、単一の「request」API 呼び出しで 2 つのリクエストを実行します。1) `http://localhost:3000/` 2) `http://localhost:3000/foo2` この問題は、Undici v5.8.1 でパッチが適用されています。ユーザー入力を回避策として使用して content-type ヘッダーを送信する際に、入力をサニタイズします。(CVE-2022-35948)

  - undici は HTTP/1.1 クライアントであり、Node.js 用にゼロから記述されています。「undici」は、アプリケーションが「undici.request」の「path/pathname」オプションに **ユーザー入力** を取り込んだ場合に、SSRF (サーバーサイドリクエスト偽造) に対して脆弱です。ユーザーが `http://127.0.0.1` または `//127.0.0.1` ``js const undici = require(undici) undici.request({オリジン:http://example.com, パス名: //127.0.0.1}) ``` などの URL を、`http://example.org//127.0.0.1` (または `http://127.0.0.1 が使用される場合は `http://example.org/http://127.0.0.1`) として処理する代わりに指定した場合、実際にはリクエストを `http://127.0.0.1/` として処理し、それを `http://127.0.0.1` に送信します。開発者がユーザー入力を「undici.request」の「path」パラメーターに渡すと、ホスト名は変更できないと想定するため、_SSRF_ が発生する可能性があります。実際には、指定されたパスパラメーターがベース URL と組み合わされているため、変更される可能性があります。この問題は「undici@5.8.1」で修正されました。最善の回避策は、「undici.request」呼び出しに渡す前にユーザー入力を検証することです。(CVE-2022-35949)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

リモートの SUSE Linux SLES15 / openSUSE 15 ホストには、SUSE-SU-2022:3251-1 のアドバイザリに記載されている複数の脆弱性の影響を受けるパッケージがインストールされています。

  - npm パックは、ワークスペースで、またはワークスペースフラグ付きで実行される場合、root レベルの .gitignore および .npmignore ファイル除外ディレクティブを無視します (例:「--workspaces」、「--workspace=<name>」)。v7.9.0 や v7.13.0 では、ワークスペース内で「npm pack」や「npm publish」を実行したことがあるユーザーは、影響を受ける可能性があり、含めるつもりのない npm レジストリにファイルを公開している可能性があります。ユーザーは、パッチが適用された最新の npm v8.11.0 にアップグレードし、npm i -g npm@latest を実行する必要があります。Node.js バージョン v16.15.1、v17.19.1、および v18.3.0 には、パッチが適用された npm の v8.11.0 バージョンが含まれています。(CVE-2022-29244)

  - undici は、Node.js 用にゼロから書かれた HTTP/1.1 クライアントです。5.7.1 より前のバージョンでは、undici でリクエストヘッダーに CRLF シーケンスを挿入することが可能です。バージョン 5.8.0 で修正がリリースされました。
    この問題の回避策となるのは、信頼できないソースからのすべての HTTP ヘッダーをサニタイズして「\r\n」を排除することです。
    (CVE-2022-31150)

  - undici は、Node.js 用にゼロから書かれた HTTP/1.1 クライアントです。「=< undici@5.8.0」ユーザーは
    サニタイズされていない入力をリクエストヘッダーとして使用する場合のヘッダー、より具体的には「content-type」ヘッダー内の _CRLF Injection_ に対して脆弱です。例 : ``` import { request } from 'undici' const unsanitizedContentTypeInput = 'application/json\r\n\r\nGET /foo2 HTTP/1.1' await request('http://localhost:3000, { メソッド: 'GET', ヘッダー: { 'content-type': unsanitizedContentTypeInput }, }) ``` 上記のスニペットは、単一の「request」API 呼び出しで 2 つのリクエストを実行します。1) `http://localhost:3000/` 2) `http://localhost:3000/foo2` この問題は、Undici v5.8.1 でパッチが適用されています。ユーザー入力を回避策として使用して content-type ヘッダーを送信する際に、入力をサニタイズします。(CVE-2022-35948)

  - undici は HTTP/1.1 クライアントであり、Node.js 用にゼロから記述されています。「undici」は、アプリケーションが「undici.request」の「path/pathname」オプションに **ユーザー入力** を取り込んだ場合に、SSRF (サーバーサイドリクエスト偽造) に対して脆弱です。ユーザーが `http://127.0.0.1` または `//127.0.0.1` ``js const undici = require(undici) undici.request({オリジン:http://example.com, パス名: //127.0.0.1}) ``` などの URL を、`http://example.org//127.0.0.1` (または `http://127.0.0.1 が使用される場合は `http://example.org/http://127.0.0.1`) として処理する代わりに指定した場合、実際にはリクエストを `http://127.0.0.1/` として処理し、それを `http://127.0.0.1` に送信します。開発者がユーザー入力を「undici.request」の「path」パラメーターに渡すと、ホスト名は変更できないと想定するため、_SSRF_ が発生する可能性があります。実際には、指定されたパスパラメーターがベース URL と組み合わされているため、変更される可能性があります。この問題は「undici@5.8.1」で修正されました。最善の回避策は、「undici.request」呼び出しに渡す前にユーザー入力を検証することです。(CVE-2022-35949)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

ID	Name	Product	Family	Published	Updated	Severity
164969	SUSE SLES15 Security Update : nodejs16 (SUSE-SU-2022:3250-1)	Nessus	SuSE Local Security Checks	9/13/2022	7/14/2023	critical
258722	Linux Distros Unpatched Vulnerability : CVE-2022-31150	Nessus	Misc.	8/30/2025	10/14/2025	medium
258722	Linux Distros のパッチ未適用の脆弱性: CVE-2022-31150	Nessus	Misc.	8/30/2025	10/14/2025	medium
258722	Linux Distros 未修補的弱點：CVE-2022-31150	Nessus	Misc.	8/30/2025	10/14/2025	medium
258722	Linux Distros 未修补的漏洞：CVE-2022-31150	Nessus	Misc.	8/30/2025	10/14/2025	medium
164969	SUSE SLES15 / openSUSE 15 セキュリティ更新: nodejs16 (SUSE-SU-2022:3250-1)	Nessus	SuSE Local Security Checks	9/13/2022	7/14/2023	critical
164902	SUSE SLES12 Security Update : nodejs16 (SUSE-SU-2022:3196-1)	Nessus	SuSE Local Security Checks	9/9/2022	7/14/2023	critical
164977	SUSE SLES15 Security Update : nodejs16 (SUSE-SU-2022:3251-1)	Nessus	SuSE Local Security Checks	9/13/2022	7/14/2023	critical
164902	SUSE SLES12 セキュリティ更新プログラム : nodejs16 (SUSE-SU-2022:3196-1)	Nessus	SuSE Local Security Checks	9/9/2022	7/14/2023	critical
164977	SUSE SLES15 / openSUSE 15 セキュリティ更新: nodejs16 (SUSE-SU-2022:3251-1)	Nessus	SuSE Local Security Checks	9/13/2022	7/14/2023	critical

Detections

Analytics

Plugins Search

critical

medium

medium

medium

medium

critical

critical

critical

critical

critical