There are packages installed that are affected by a vulnerability referenced in the following CVE:

  - node-tar is a tar archive manipulation library for Node.js. Prior to 7.5.17, node-tar does not strip NUL
    bytes from PAX path and linkpath records in src/pax.ts, allowing a crafted archive with values to reach
    fs.lstat or fs.open and terminate the process with an uncaught exception. This issue is fixed in version
    7.5.17. (CVE-2026-59875)

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且廠商未提供可用的修補程式。

  - node-tar 是用於 Node.js 的 tar 封存操作程式庫。在 7.5.17之前，node-tar 不會從 src/pax.ts 中的 PAX 路徑和連結路徑記錄中剝離 NUL 位元組，因此允許具有值的特製封存到達 fs.lstat 或 fs.open 並以未捕獲的異常終止處理程序。7.5.17 版已修正此問題。(CVE-2026-59875)

請注意，Nessus 依賴供應商報告的套件存在。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - node-tar 是一款适用于 Node.js 的 tar 存档操作库。在版本之前 7.5.17，node-tar 不会从 src/pax.ts 中的 PAX 路径和链接路径记录中剥离空字节，从而允许带有值的构建存档到达 fs.lstat 或 fs.open 并因未捕获异常而终止进程。此问题已在 7.5.17 版本中修复。(CVE-2026-59875)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

因此，它會受到 ALAS2023-2026-2059 公告中所提及的多個弱點影響。

    大括號展開 5.0.6 容易受到拒絕服務的影響。expand（） 函式在連續非展開的「{}」大括號群組數目中表現出指數時間複雜度。攻擊者直接或轉移地將特製字串傳遞至 expand（），可造成大量 CPU 消耗和事件迴圈封鎖。max 選項不會緩解此問題，因為它會限制輸出大小，而不是遞迴工作。（CVE-2026-13149）

    undici 的快取攔截器錯誤地處理格式錯誤的 Cache-Control 私有指令。在 undici 7.0.0 之前 7.29.0 和 8.0.0 之前 8.9.0之前，帶有退化限定私有指令的回應 （例如將 private 設定為空值） 可以儲存在預設共用快取中，然後提供給具有相同快取金鑰的不同呼叫者，從而揭露私有回應本文和標頭，包括 Set-Cookie。另外，將不限定的私有指令與限定的私有指令結合的 Cache-Control 標頭會在快取控制剖析器中觸發未擷取的 TypeError，該剖析器會拒絕要求，並視取用者的錯誤處理而定，終止處理程序。這兩個問題都會影響在共用模式下使用快取攔截器的應用程式，包括預設設定。這些問題已在 undici 7.29.0 和 8.9.0中修正。（CVE-2026-13697）

    undici 的快取攔截器錯誤地處理了放置在限定無快取或私有 Cache-Control 指令等號周圍的可選空格。在 undici from 7.0.0 up to before 7.29.0 和 from 8.0.0 up to before 8.9.0中，剖析器要麼捨棄指令，要麼儲存具有文字引號字元的欄位名稱，因此快取決策無法辨識限定，並儲存回應。在共用快取模式中，當兩個要求解析為相同的快取金鑰時，這可讓包含一個使用者已驗證資料的回應從快取提供給稍後的呼叫端，包括未經驗證的呼叫端。它會影響在共用模式下啟用快取攔截器、將授權標頭轉送上游，以及接收可快取回應的應用程式，其中限定的指示詞在等號周圍填補空格。這是修正未 CVE-2026-9678 正規化的 whitespace-around-equals 變體，它在 undici 7.29.0 和 8.9.0中固定。（CVE-2026-14643）

    undici 不會先驗證鴨子型別類似 blob 的要求內文的 type 屬性，再將其用作 HTTP/1.1 分派器上的 Content-Type 標頭。在 undici before 6.28.0、 from 7.0.0 up to before 7.29.0和 from 8.0.0 up to before 8.9.0中，傳遞手動滾動的類似 blob 的主體（透過請求、流、管道或分派）的應用程式，其類型源自不受信任的輸入，允許攻擊者插入 CRLF 序列並附加任意 HTTP 標頭，從而可能將第二個請求偷運到上游。原生 Blob 物件是安全的，因為其建構函式會從類型中移除 CRLF，而且擷取不會受到影響，因為它會驗證標頭，但從使用者輸入建置鴨子類型 Blob 圖形的生態系統程式庫可以到達易受攻擊的路徑。這是與標頭接收器上的 和 CVE-2026-1527相同的缺陷類別CVE-2022-35948，但先前的修正未涵蓋。此問題已在 undici 6.28.0、 7.29.0和 8.9.0中修正。（CVE-2026-15157）

    Undici 的重試攔截器可以傳遞回應，其內文長度與在重試或恢復部分回應後公開給應用程式的 Content-Length 標頭不相符。在 undici before 6.28.0、 from 7.0.0 up to before 7.29.0和 from 8.0.0 up to before 8.9.0中，惡意或錯誤的上游可以傳回具有不相符的框架標頭的部分回應，提前關閉通訊端，並讓重試攔截器組裝不同長度的主體，同時原始 Content-Length 保持附加狀態。
    然後，使用重試攔截器並將上游標頭和內文轉送至下游的應用程式 （例如 Proxy 或閘道） 可能會發出具有過時 Content-Length 的無效 HTTP 回應，進而導致下游回應不同步、連線停擺或回應損毀。利用需要啟用重試攔截器、上傳回不相符的部分回應，以及不移除或重新計算 Content-Length 的下游轉送器。此問題已在 undici 6.28.0、 7.29.0和 8.9.0中修正。（CVE-2026-16728）

    undici 的 setCookie 函式並未完全清理 cookie 屬性。在 undici before 6.28.0、 from 7.0.0 up to before 7.29.0和 from 8.0.0 up to before 8.9.0中，不會檢查網域值是否有分號，且未剖析陣列中的項目不會被清理，因此受攻擊者影響的輸入可以插入額外的 cookie 屬性。例如，包含分號的網域值可以附加屬性，例如 SameSite，而未剖析的專案可以插入屬性，例如 HttpOnly，而不需要呼叫端設定它們。將使用者控制的輸入傳遞至這些欄位的應用程式，例如將工作階段 Cookie 範圍限定為租用戶提供的網域的多租用戶或反向 Proxy 伺服器，可以繞過 SameSite CSRF 保護，或強制、剝離或覆寫 Secure、HttpOnly 和 SameSite 屬性。此問題已在 undici 6.28.0、 7.29.0和 8.9.0中修正。（CVE-2026-16729）

    node-tar 是 Node.js 的全功能 Tar。在之前 7.5.16，tar （node-tar） 會將 PAX 擴充標頭的 size= 記錄 （和其他 PAX 覆寫） 套用至任何類型的下一個標頭項目，包括中間中繼資料標頭，例如 GNU 長名稱 （L） 或長連結 （K） 項目。根據 POSIX pax，PAX 擴充標頭 （x） 描述下一個檔案項目，而不是可能位於 x 標頭及其註釋檔案之間的中間擴充標頭。由於 node-tar 允許 PAX 大小覆蓋中間 L/K/x 標頭的位元組長度，因此攻擊者可以使 node-tar 的流游標相對於所有其他主流 tar 實現（GNU tar、libarchive/bsdtar、Python tarfile 和現已修復的 tar-rs / astral-tokio-tar）不同步。結果是 tar 解析器解釋差異 （CWE-436）：單一特製的存檔在節點 tar 下產生的成員集與在參考 tar 工具下產生的成員集不同。攻擊者可以利用它來隱藏一個剖析器中的成員，而另一個剖析器可以看到該成員，這會破壞掃描器和提取器在存檔內容上不一致的安全工具（例如，惡意軟體/秘密掃描器列出一個庫的條目，而下游步驟則提取另一個庫） 此漏洞已在 中修復 7.5.16。（CVE-2026-53655）

    HTTP/2 保留標頭可以繞過 maxSessionMemory 限制 （CVE-2026-56846）

    Node.js權限模型強制執行中的一個缺陷允許「trace_events.createTracing（）.enable（）」在 '--allow-fs-write' 之外寫入追蹤記錄。這可能會導致機密性影響，或在受影響的組態下繞過預期的安全邊界。此弱點會影響Node.js **22.x**、**24.x** 和
    **26.x**。（CVE-2026-56847）

    Node.js HTTP/2 處理中的一個缺陷允許在 nghttp2_session_mem_recv（） 執行時以重新進入方式呼叫 nghttp2_session_mem_send（），從而導致堆積釋放後使用。（CVE-2026-56848）

    Node.js HTTPS 代理程式連線重複使用中的缺陷可能會導致 PFX 物件陣列金鑰衝突，進而允許在使用不同用戶端憑證設定的請求之間重複使用相互TLS （mTLS） 用戶端身分。此弱點會影響 Node.js **26.x**、**24.x** 和 **22.x**。（CVE-2026-56850）

    Node.js權限模型強制執行中的缺陷允許 process.report 寫入 （和覆寫） 外部檔案
    --allow-fs-write 路徑。

    這可能會導致機密性影響，或在受影響的組態下繞過預期的安全邊界。（CVE-2026-58039）

    在Node.js中發現不完整的修正：HTTPS代理程式TLS工作階段重複使用會跳過跨身分原則的主機名稱驗證 （不 CVE-2026-48934完整的修正）。此弱點會影響 Node.js **22.x**、**24.x** 和 **26.x**。（CVE-2026-58040）

    注意: https://nodejs.org/en/blog/vulnerability/july-2026-security-releases#nodesqlite-sqltagstore-iterator-replay-can-re-execute-writes-cve-2026-58041---medium (CVE-2026-58041)

    當 DNS 回應包含超過 256 筆 A 記錄時，Node.js中的缺陷可能會導致 dns.resolveAny（） 中止處理程序。

    反覆觸發這種情況可能會導致拒絕服務。（CVE-2026-58042）

    Node.js許可模型強制執行中的缺陷可能會過度授予跨基數樹狀結構前綴邊界的檔案系統存取權。在「」--permission下，被授予單一路徑存取權的攻擊者可濫用邊界處理，在預期檔案系統允許清單之外的路徑中讀取或寫入路徑。此弱點影響 **main**、**22.x**、**24.x** 和 **26.x** Node.js。（CVE-2026-58043）

    注意: https://nodejs.org/en/blog/vulnerability/july-2026-security-releases#http-parser-header-truncation-can-enable-request-smuggling-cve-2026-58044---low (CVE-2026-58044)

    注意: https://nodejs.org/en/blog/vulnerability/july-2026-security-releases#nodezlib-sync-apis-can-crash-on-spoofed-typedarray-length-cve-2026-58045---medium (CVE-2026-58045)

    node-tar 是一個用於 Node.js 的 tar 存檔操作庫。在 7.5.18之前，node-tar 會將 src/pax.ts 中的全數字 PAX 路徑和連結路徑值強制轉換為 JavaScript 數字，導致下游路徑處理 （例如 normalizeWindowsPath（entry.path）.split（'/'） 擲回未捕獲的 TypeError。7.5.18 版已修正此問題。(CVE-2026-59871)

    node-tar 是一個用於 Node.js 的 tar 存檔操作庫。在之前 7.5.19，node-tar 不會在擷取和剖析路徑 （例如 src/extract.ts） 中對解壓縮資料總數、條目計數或解壓縮比率強制執行硬性上限，因此允許小型特製的 gzip 炸彈耗盡磁碟空間和 CPU。
    7.5.19 版已修正此問題。(CVE-2026-59873)

    node-tar 是一個用於 Node.js 的 tar 存檔操作庫。在之前 7.5.18，tar.replace 接受具有負 base-256 編碼項目大小的總和檢查碼有效 tar 標頭，導致封存掃描器在重複剖析相同標頭時沒有任何進展。7.5.18 版已修正此問題。
    (CVE-2026-59874)

    node-tar 是一個用於 Node.js 的 tar 存檔操作庫。在 7.5.17之前，node-tar 不會從 src/pax.ts 中的 PAX 路徑和連結路徑記錄中剝離 NUL 位元組，因此允許具有值的特製封存到達 fs.lstat 或 fs.open 並以未捕獲的異常終止處理程序。7.5.17 版已修正此問題。(CVE-2026-59875)

    透過不受限制的 DNS 名稱壓縮指標鏈 （CVE-2026-69184） 造成 CPU 耗盡拒絕服務

Tenable 已直接從所測試產品的安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

因此，该软件受到 ALAS2023-2026-2059 公告中提及的多个漏洞影响。

    括号扩展容易遭受 5.0.6 拒绝服务攻击。expand（） 函数在连续非展开“{}”大括号组的数量中表现出指数时间复杂度。攻击者直接或可传递传递构建的字符串到 expand（），可造成大量 CPU 消耗和事件循环阻断。max 选项无法缓解此问题，因为它会限制输出大小而不是递归功。（CVE-2026-13149）

    undici 的缓存拦截器未正确处理畸形的 Cache-Control 专用指令。在之前和7.29.08.0.08.9.0之前的 undici 7.0.0 中，携带退化限定私有指令（例如设置为空值的 private ）的响应可以存储在默认共享缓存中，稍后提供给具有相同缓存密钥的不同调用程序，从而泄露私有响应正文和标头，包括 Set-Cookie。另外，将不限定的专用指令与限定的指令相结合的 Cache-Control 标头会在 cache-control 解析器中触发未捕获的 TypeError，从而拒绝请求，并且可终止进程（具体取决于使用者的错误处理方式）。这两个问题都会影响在共享模式中使用缓存拦截器的应用程序，包括默认配置。这些问题已在 undici 7.29.0 和 8.9.0.（CVE-2026-13697）

    undici 的缓存拦截器未正确处理限定的无缓存指令或专用缓存控制指令的等号周围放置的可选空白。在 undici from 7.0.0 up to before 7.29.0 和 from 8.0.0 up to before 8.9.0中，解析器要么删除指令，要么存储带有文字引号字符的字段名，因此缓存决策无法识别限定，并且存储响应。在共享缓存模式下，当两个请求解析为同一缓存密钥时，这允许包含一个用户的认证数据的响应从缓存提供给后来的调用程序，包括未经认证的调用程序。它会影响在共享模式下启用缓存拦截器、向上游转发授权标头以及接收在等号周围填充有空格的限定指令的可缓存响应的应用程序。这是补丁 CVE-2026-9678 未规范化的空格周围相等变体，已在 undici 7.29.0 和 8.9.0.（CVE-2026-14643）

    undici 未验证 duck 类型类 blob 请求正文的类型属性，便将其用作 HTTP/1.1 调度程序上的 Content-Type 标头。在之前 6.28.0的 、 上 7.0.0 到 之前 7.29.0和 从 8.0.0 上到 之前 8.9.0的 undici 中，传递类型派生自不受信任输入的手动滚动的类似 blob 的正文（通过请求、流、管道或调度）的应用程序允许攻击者注入 CRLF 序列并附加任意 HTTP 标头，从而可能通过上游走私第二个请求。本机 Blob 对象是安全的，因为它们的构造函数从类型中剥离了 CRLF，并且 fetch 由于验证标头而不受影响，但根据用户输入构建 duck 类型 blob 形状的生态系统库可以到达容易受到攻击的路径。这是与标头接收器上的 和 CVE-2026-1527相同的缺陷类CVE-2022-35948，之前的补丁未涵盖该缺陷。undici 6.28.0、 7.29.0和 8.9.0中已修复此问题。（CVE-2026-15157）

    undici 的重试拦截器可提供响应，其正文长度与在重试或恢复部分响应后暴露给应用程序的 Content-Length 标头不匹配。在 之前 、 从 7.0.0 up 到 before 7.29.0和 从 8.0.0 up 到 before 8.9.0的 undici 6.28.0中，恶意或错误的上游可返回带有不匹配的帧标头的部分响应，提前关闭套接字，并使重试拦截器在原始 Content-Length 保持附加状态时组装不同长度的正文。
    使用重试拦截器并将上游标头和正文转发到下游的应用程序（例如代理或网关）然后可能会发出带有过时 Content-Length 的无效 HTTP 响应，从而导致下游响应不同步、连接挂起或响应损坏。要利用此漏洞，需要启用重试拦截器、上游返回不匹配的部分响应，以及下游转发器不删除或重新计算 Content-Length。undici 6.28.0、 7.29.0和 8.9.0中已修复此问题。（CVE-2026-16728）

    undici 的 setCookie 函数未完全审查 Cookie 属性。在之前的 、 从 7.0.0 up 到 before 7.29.0和 从 8.0.0 up 到 before 8.9.0的 undici 6.28.0中，未检查域值是否有分号，并且未审查未解析数组中的条目，因此受攻击者影响的输入可注入其他 Cookie 属性。例如，包含分号的域值可以附加 SameSite 等属性，未解析的条目可以注入 HttpOnly 等属性，而无需调用方对其进行设置。将用户控制的输入传递到这些字段的应用程序（例如将会话 Cookie 范围限定为租户提供的域的多租户或反向代理服务器）可能会绕过 SameSite CSRF 保护，或者强制、剥离或重写 Secure、HttpOnly 和 SameSite 属性。undici 6.28.0、 7.29.0和 8.9.0中已修复此问题。（CVE-2026-16729）

    node-tar 是一款功能齐全的 Node.js Tar。在 7.5.16之前，tar （node-tar） 将 PAX 扩展标头的 size= record（以及其他 PAX 覆盖）应用于任何类型的下一个标头条目，包括中间元数据标头，例如 GNU 长名称 （L） 或长链接 （K） 条目。根据 POSIX pax，PAX 扩展标头 （x） 描述下一个文件条目，而不是可能位于 x 标头及其注释的文件之间的中间扩展标头。由于 node-tar 让 PAX 大小替代中间 L/K/x 标头的字节长度，攻击者可使 node-tar 的流游标相对于其他每个主流 tar 实现（GNU tar、libarchive/bsdtar、Python tarfile 和现已修复的 tar-rs/astral-tokio-tar）取消同步。结果是 tar 解析器解释差异 （CWE-436）：单个构建的存档在 node-tar 下产生的成员集与在参考 tar 工具下产生的成员集不同。攻击者可利用此漏洞在另一个解析器可见时隐藏该成员，这会破坏扫描程序和提取器对存档内容不一致的安全工具（例如，恶意软件/秘密扫描程序列出一个库的条目，而下游步骤使用另一个库进行提取） 该漏洞已在 7.5.16中修复。（CVE-2026-53655）

    HTTP/2 保留的标头可绕过 maxSessionMemory 限制 （CVE-2026-56846）

    Node.js权限模型执行中的缺陷允许“trace_events.createTracing（）.enable（）”在“--allow-fs-write外部写入跟踪日志。这可导致机密性影响或在受影响的配置中绕过预期安全边界。此漏洞影响 Node.js **22.x**、**24.x** 和
    **26.x**。（CVE-2026-56847）

    Node.js HTTP/2 处理中的缺陷允许在执行 nghttp2_session_mem_recv（） 时重新进入调用 nghttp2_session_mem_send（），从而导致堆释放后使用。（CVE-2026-56848）

    HTTPS 代理连接重用Node.js缺陷可造成 PFX 对象数组密钥冲突，进而允许在配置有不同客户端证书的请求间重用相互 TLS （mTLS） 客户端身份。此漏洞影响 Node.js **26.x**、**24.x** 和 **22.x**。（CVE-2026-56850）

    Node.js Permission Model 强制执行中的缺陷允许 process.report 在外部写入（和覆盖）文件
    --allow-fs-write 路径。

    这可导致机密性影响或在受影响的配置中绕过预期安全边界。（CVE-2026-58039）

    在 Node.js 中发现一个不完整的修复：HTTPS 代理 TLS 会话重用跳过跨身份策略的主机名验证（不 CVE-2026-48934完整的修复）。此漏洞影响 Node.js **22.x**、**24.x** 和 **26.x**。（CVE-2026-58040）

    注意：https://nodejs.org/en/blog/vulnerability/july-2026-security-releases#nodesqlite-sqltagstore-iterator-replay-can-re-execute-writes-cve-2026-58041---medium (CVE-2026-58041)

    当 DNS 响应包含超过 256 条 A 记录时，Node.js 中的缺陷可造成 dns.resolveAny（） 中止进程。

    重复触发此条件可导致拒绝服务。（CVE-2026-58042）

    Node.js Permission Model 强制执行中的缺陷可跨 radix 树前缀边界过度授权文件系统访问权限。在 '--permission' 下，获得访问某一路径权限的攻击者可滥用边界处理来读取或写入预期文件系统允许列表外部的路径。此漏洞影响 Node.js **main**、**22.x**、**24.x** 和 **26.x**。（CVE-2026-58043）

    注意：https://nodejs.org/en/blog/vulnerability/july-2026-security-releases#http-parser-header-truncation-can-enable-request-smuggling-cve-2026-58044---low (CVE-2026-58044)

    注意：https://nodejs.org/en/blog/vulnerability/july-2026-security-releases#nodezlib-sync-apis-can-crash-on-spoofed-typedarray-length-cve-2026-58045---medium (CVE-2026-58045)

    node-tar 是一款适用于 Node.js 的 tar 存档操作库。在版本之前 7.5.18，node-tar 将 src/pax.ts 中的全位 PAX 路径和 linkpath 值强制转换为 JavaScript 数字，从而导致下游路径处理（例如 normalizeWindowsPath（entry.path）.split（'/'） 抛出未捕获的 TypeError。此问题已在 7.5.18 版本中修复。(CVE-2026-59871)

    node-tar 是一款适用于 Node.js 的 tar 存档操作库。在版本之前 7.5.19，node-tar 不对提取和解析路径（例如 src/extract.ts）中的总解压缩数据、条目计数或解压缩比率强制实施硬性上限，从而允许构建的小型 gzip 炸弹耗尽磁盘空间和 CPU。
    此问题已在 7.5.19 版本中修复。(CVE-2026-59873)

    node-tar 是一款适用于 Node.js 的 tar 存档操作库。在版本 7.5.18之前，tar.replace 接受包含负 base-256 编码条目大小的校验和有效 tar 标头，从而导致存档扫描程序在重复解析同一标头时没有进度。此问题已在 7.5.18 版本中修复。
    (CVE-2026-59874)

    node-tar 是一款适用于 Node.js 的 tar 存档操作库。在版本之前 7.5.17，node-tar 不会从 src/pax.ts 中的 PAX 路径和链接路径记录中剥离空字节，从而允许带有值的构建存档到达 fs.lstat 或 fs.open 并因未捕获异常而终止进程。此问题已在 7.5.17 版本中修复。(CVE-2026-59875)

    通过未绑定的 DNS 名称压缩指针链 （CVE-2026-69184） 导致的 CPU 耗尽拒绝服务

Tenable 已直接从测试产品的安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

したがって、ALAS2023-2026-2059 のアドバイザリに記載されている複数の脆弱性の影響を受けます。

    5.0.6 によるブレース拡張は、サービス拒否に脆弱です。expand() 関数は、連続する非拡張 '{}' ブレース・グループの数において指数関数的な時間複雑さを示します。攻撃者が細工された文字列を直接的または推移的に expand() に渡すことで、大幅な CPU 消費およびイベントループブロッキングが引き起こされる可能性があります。maxオプションは、再帰作業ではなく出力サイズを制限するため、これを緩和しません。(CVE-2026-13149)

    undici のキャッシュインターセプタが、無効な形式の Cache-Control プライベートディレクティブを不適切に処理します。7.29.0より前まで、8.0.08.9.0より前までの undici 7.0.0では、空の値に private を設定するなど、退化修飾プライベートディレクティブを運ぶ応答が、デフォルトの共有キャッシュに保存され、後で同じキャッシュキーで異なる呼び出し元に提供され、プライベート応答本体と Set-Cookie を含むヘッダーが漏洩する可能性があります。これとは別に、認証されていないプライベートディレクティブと修飾ディレクティブを組み合わせた Cache-Control ヘッダーにより、キャッシュコントロールパーサーで捕捉されない TypeError が発生します。これにより、リクエストが拒否され、コンシューマーのエラー処理によっては、プロセスが終了する可能性があります。両方の問題は、デフォルト構成を含め、共有モードでキャッシュインターセプタを使用しているアプリケーションに影響を与えます。この問題は undici 7.29.0 および 8.9.0 で修正されています。(CVE-2026-13697)

    undici のキャッシュインターセプタは、限定された no-cache またはプライベートな Cache-Control ディレクティブの等号の周囲に配置されるオプションの空白を誤って処理します。7.0.0 から 7.29.0 以前、および 8.0.0 から 8.9.0 より前の undici では、パーサーがディレクティブをドロップするか、リテラル引用符文字を含むフィールド名を保存するため、キャッシュ判定は修飾を認識できず、応答は保存されます。共有キャッシュモードでは、両方のリクエストが同じキャッシュキーで解決された場合、これにより、1 人のユーザーの認証済みデータを含む応答が、キャッシュから後の呼び出し元へ(認証されていないものも含む)提供されます。これは、共有モードでキャッシュインターセプタを有効にし、Authorization ヘッダーを上流に転送し、等号の周囲に空白がある修飾ディレクティブを持つキャッシュ可能な応答を受信するアプリケーションに影響します。これは、 CVE-2026-9678 の修正が正規化しなかった whitespace-around-equals バリアントであり、undici 7.29.0 および 8.9.0 で修正されています。(CVE-2026-14643)

    undici は、HTTP/1.1 ディスパッチャー上で Content-Type ヘッダーとして使用する前に、duck 型の blob のようなリクエスト本文の type プロパティを検証しません。6.28.0より前、7.0.0から7.29.0より前、8.0.0から8.9.0より前のundciでは、信頼できない入力から型が派生した(リクエスト、ストリーム、パイプライン、またはディスパッチを介して)手動で巻かれたブロブのようなボディを渡すアプリケーションにより、攻撃者がCRLFシーケンスを挿入し、任意のHTTPヘッダーを追加して、2番目のリクエストを上流を経由してスマグリングする可能性があります。ネイティブ Blob オブジェクトは、コンストラクターが型から CRLF を striping するため安全であり、ヘッダーを検証するため fetch は影響を受けませんが、ユーザー入力から duck 型の blob 形状を構築するエコシステムライブラリは脆弱なパスに到達する可能性があります。これは、ヘッダーシンクの CVE-2022-35948 や CVE-2026-1527 と同じ欠陥クラスですが、以前の修正はカバーしていませんでした。この問題は、undici 6.28.0、 7.29.0、および 8.9.0 で修正されます。(CVE-2026-15157)

    undici の再試行インターセプターが、部分的な応答の再試行または再開後にアプリケーションに露出した Content-Length ヘッダーと本文の長さが一致しない応答を配信する可能性があります。6.28.0 より前、7.0.0 から 7.29.0 より前、および 8.0.0 から 8.9.0 より前の undici では、悪意のあるまたは障害のある Upstream が、一致しないフレーミングヘッダーを含む部分的な応答を返し、ソケットを早期に閉じ、元の Content-Length が接続されたままで、再試行インターセプターに異なる長さのボディを組み立てさせる可能性があります。
    その後、再試行インターセプタを使用し、プロキシやゲートウェイなどのアップストリームのヘッダーと本体をダウンストリームに転送するアプリケーションは、古いコンテンツ長を持つ無効な HTTP 応答を発行する可能性があります。これにより、ダウンストリーム応答の同期解除、接続のハングアップ、または応答破損が発生します。悪用するには、再試行インターセプタの有効化、一致しない部分応答を返す上流、および Content-Length を削除または再計算しない下流フォワーダーが必要です。この問題は、undici 6.28.0、 7.29.0、および 8.9.0 で修正されます。(CVE-2026-16728)

    undici の setCookie 関数は、クッキー属性を完全にはサニタイズしません。6.28.0 より前、7.0.0 から 7.29.0 より前、8.0.0 から 8.9.0 より前の undici では、ドメイン値のセミコロンがチェックされず、解析されていない配列のエントリがサニタイズされません。そのため、攻撃者の影響を受ける入力が、追加のクッキー属性を注入する可能性があります。たとえば、セミコロンを含むドメイン値には SameSite などの属性を追加でき、解析されていないエントリには、呼び出し元が設定しなくても HttpOnly などの属性を挿入できます。セッション Cookie をテナント指定のドメインにスコープするマルチテナントまたはリバースプロキシサーバーなど、ユーザー制御の入力をこれらのフィールドに渡すアプリケーションでは、SameSite CSRF 保護がバイパスされたり、Secure、HttpOnly、SameSite 属性が強制、削除、またはオーバーライドされたりする可能性があります。この問題は、undici 6.28.0、 7.29.0、および 8.9.0 で修正されます。(CVE-2026-16729)

    node-tar は、Node.js 用のフル機能の Tar です。7.5.16の前に、tar(node-tar)は PAX 拡張ヘッダーの size= record(およびその他の PAX オーバーライド)を、GNU long-name(L)エントリまたは long-link(K)エントリなどの中間メタデータヘッダーを含む、任意のタイプの次のヘッダーエントリに適用します。POSIX pax では、PAX 拡張ヘッダー(x)は次のファイルエントリを記述します。これは、x ヘッダーと注釈を付けるファイルの間にある中間拡張ヘッダーではありません。node-tar によって PAX サイズが中間の L/K/x ヘッダーのバイト長をオーバーライドできるため、攻撃者が node-tar のストリームカーソルを、他の主流の tar 実装すべて(GNU tar、libarchive/bsdtar、Python tarfile、および現在修正された tar-rs/astral-tokio-tar)と比較して非同期化する可能性があります。その結果、tar パーサーの解釈の違いが生じます(CWE-436):単一の細工されたアーカイブにより、参照 tar ツールの node-tar 下とは異なるメンバーのセットが生成されます。攻撃者はこれを利用して、あるパーサーからは表示されているが、別のパーサーからは表示されるメンバーを隠すことで、スキャナーと抽出器がアーカイブの内容に一致しないセキュリティツールを無駄にする可能性があります(例:マルウェア/シークレットスキャナー、あるライブラリでエントリを一覧表示し、下流のステップで別のライブラリで抽出)。 この脆弱性は 7.5.16で修正されています。(CVE-2026-53655)

    HTTP/2 の保持ヘッダーは maxSessionMemory 制限をバイパスできます(CVE-2026-56846)

    Node.js許可モデル実施における欠陥により、「trace_events.createTracing().enable()」が「--allow-fs-write」外側にトレースログを書き込む可能性があります。これにより、機密性の影響を受けたり、影響を受ける構成で意図されたセキュリティ境界がバイパスされたりする可能性があります。この脆弱性は、**22.x**、**24.x** Node.jsに影響します。
    **26.x**。(CVE-2026-56847)

    Node.js HTTP/2処理の欠陥により、nghttp2_session_mem_recv()の実行中にnghttp2_session_mem_send()が再入的に呼び出され、ヒープのメモリ解放後使用(Use After Free)が発生する可能性があります。(CVE-2026-56848)

    HTTPS Agent 接続再利用Node.js欠陥により、PFX オブジェクト配列キーの衝突が引き起こされ、異なるクライアント証明書で構成されたリクエスト間で相互 TLS(mTLS)クライアント ID が再利用される可能性があります。この脆弱性は、Node.js **26.x**、**24.x**、**22.x** に影響を与えます。(CVE-2026-56850)

    Node.js許可モデルの適用における欠陥により、process.report はファイルを外部に書き込み(および上書き)できます
    --allow-fs-write パス。

    これにより、機密性の影響を受けたり、影響を受ける構成で意図されたセキュリティ境界がバイパスされたりする可能性があります。(CVE-2026-58039)

    Node.js で不完全な修正が特定されました:HTTPS エージェントTLSセッションの再利用により、ID ポリシー全体でホスト名の検証がスキップされます( CVE-2026-48934の不完全な修正)。この脆弱性は、Node.js **22.x**、**24.x**、**26.x** に影響を与えます。(CVE-2026-58040)

    注意: https://nodejs.org/en/blog/vulnerability/july-2026-security-releases#nodesqlite-sqltagstore-iterator-replay-can-re-execute-writes-cve-2026-58041---medium (CVE-2026-58041)

    Node.jsの欠陥により、DNS応答に256件を超えるAレコードが含まれているとき、dns.resolveAny()がプロセスを中止する可能性があります。

    この状態を繰り返しトリガーすると、サービス拒否を引き起こす可能性があります。(CVE-2026-58042)

    Node.js権限モデルの強制における欠陥により、基数木プレフィックスの境界を越えてファイルシステムアクセスが過剰に付与される可能性があります。「--permission」では、1つのパスへのアクセスが許可された攻撃者が、境界処理を悪用して、意図されたファイルシステム許可リスト外のパスからの読み取りまたは書き込みを行う可能性があります。この脆弱性は、Node.js **main**、**22.x**、**24.x**、**26.x** に影響を与えます。(CVE-2026-58043)

    注意: https://nodejs.org/en/blog/vulnerability/july-2026-security-releases#http-parser-header-truncation-can-enable-request-smuggling-cve-2026-58044---low (CVE-2026-58044)

    注意: https://nodejs.org/en/blog/vulnerability/july-2026-security-releases#nodezlib-sync-apis-can-crash-on-spoofed-typedarray-length-cve-2026-58045---medium (CVE-2026-58045)

    node-tar は、Node.js 用の tar アーカイブ操作ライブラリです。7.5.18より前に、node-tar は src/pax.ts の全桁 PAX パスおよびリンクパスの値を JavaScript 番号に強制します。これにより、normalizeWindowsPath(entry.path).split('/') などのダウンストリームパス処理が行われ、捕捉されない TypeError をスローします。この問題はバージョン 7.5.18 で修正されています。(CVE-2026-59871)

    node-tar は、Node.js 用の tar アーカイブ操作ライブラリです。7.5.19より前のバージョンでは、node-tar は展開後のデータの合計数、エントリ数、または抽出パスや src/extract.ts などの展開比にハードな上限を強制しません。このため、細工された小さな gzip 爆弾がディスク容量と CPU を使い果たす可能性があります。
    この問題はバージョン 7.5.19 で修正されています。(CVE-2026-59873)

    node-tar は、Node.js 用の tar アーカイブ操作ライブラリです。7.5.18より前に、tar.replace は、base-256 でエンコードされた負のエントリサイズのチェックサムが有効な tar ヘッダーを受け入れます。これにより、アーカイブスキャナーが同じヘッダーを繰り返し解析している間に何も進みません。この問題はバージョン 7.5.18 で修正されています。
    (CVE-2026-59874)

    node-tar は、Node.js 用の tar アーカイブ操作ライブラリです。7.5.17より前のバージョンでは、node-tar は src/pax.ts の PAX パスおよびリンクパスレコードから NULL バイトをストリップしないため、値付きの細工されたアーカイブが fs.lstat または fs.open に到達し、捕捉されない例外でプロセスを終了させる可能性があります。この問題はバージョン 7.5.17 で修正されています。(CVE-2026-59875)

    無制限のDNS名圧縮ポインターチェーンを介したCPU枯渇サービス拒否(CVE-2026-69184)

Tenable は、前述の記述ブロックをテスト済み製品のセキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - node-tar は、Node.js 用の tar アーカイブ操作ライブラリです。7.5.17より前のバージョンでは、node-tar は src/pax.ts の PAX パスおよびリンクパスレコードから NULL バイトをストリップしないため、値付きの細工されたアーカイブが fs.lstat または fs.open に到達し、捕捉されない例外でプロセスを終了させる可能性があります。この問題はバージョン 7.5.17 で修正されています。(CVE-2026-59875)

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

It is, therefore, affected by multiple vulnerabilities as referenced in the ALAS2023-2026-2059 advisory.

    brace-expansion through 5.0.6 is vulnerable to denial of service. The expand() function exhibits     exponential-time complexity in the number of consecutive non-expanding '{}' brace groups. An attacker who     passes a crafted string to expand(), directly or transitively, can cause significant CPU consumption and     event-loop blocking. The max option does not mitigate this, as it bounds the output size rather than the     recursion work. (CVE-2026-13149)

    undici's cache interceptor mishandles malformed Cache-Control private directives. In undici 7.0.0 up to     before 7.29.0 and 8.0.0 up to before 8.9.0, a response carrying a degenerate qualified private directive,     such as private set to an empty value, can be stored in the default shared cache and later served to a     different caller with the same cache key, disclosing private response bodies and headers including Set-     Cookie. Separately, a Cache-Control header that combines an unqualified private directive with a qualified     one triggers an uncaught TypeError in the cache-control parser, which rejects the request and, depending     on the consumer's error handling, can terminate the process. Both issues affect applications using the     cache interceptor in shared mode, including the default configuration. The issues are fixed in undici     7.29.0 and 8.9.0. (CVE-2026-13697)

    undici's cache interceptor mishandles optional whitespace placed around the equals sign of a qualified no-     cache or private Cache-Control directive. In undici from 7.0.0 up to before 7.29.0 and from 8.0.0 up to     before 8.9.0, the parser either drops the directive or stores a field name with literal quote characters,     so the cache decision fails to recognize the qualification and the response is stored. In shared-cache     mode, this lets a response containing one user's authenticated data be served from cache to a later     caller, including an unauthenticated one, when both requests resolve to the same cache key. It affects     applications that enable the cache interceptor in shared mode, forward Authorization headers upstream, and     receive cacheable responses with qualified directives padded with whitespace around the equals sign. This     is the whitespace-around-equals variant that the fix for CVE-2026-9678 did not normalize, and it is fixed     in undici 7.29.0 and 8.9.0. (CVE-2026-14643)

    undici does not validate the type property of a duck-typed blob-like request body before using it as the     Content-Type header on the HTTP/1.1 dispatcher. In undici before 6.28.0, from 7.0.0 up to before 7.29.0,     and from 8.0.0 up to before 8.9.0, an application that passes a hand-rolled blob-like body (via request,     stream, pipeline, or dispatch) whose type is derived from untrusted input allows an attacker to inject     CRLF sequences and append arbitrary HTTP headers, potentially smuggling a second request past the     upstream. Native Blob objects are safe because their constructor strips CRLF from the type, and fetch is     unaffected because it validates headers, but ecosystem libraries that build duck-typed blob shapes from     user input can reach the vulnerable path. This is the same defect class as CVE-2022-35948 and     CVE-2026-1527, on a header sink that the earlier fixes did not cover. The issue is fixed in undici 6.28.0,     7.29.0, and 8.9.0. (CVE-2026-15157)

    undici's retry interceptor can deliver a response whose body length does not match the Content-Length     header exposed to the application after a retry or resume of a partial response. In undici before 6.28.0,     from 7.0.0 up to before 7.29.0, and from 8.0.0 up to before 8.9.0, a malicious or faulty upstream can     return a partial response with a mismatched framing header, close the socket early, and have the retry     interceptor assemble a body of a different length while the original Content-Length stays attached.
    Applications that use the retry interceptor and forward upstream headers and bodies downstream, such as     proxies or gateways, may then emit an invalid HTTP response with a stale Content-Length, leading to     downstream response desynchronization, connection hangs, or response corruption. Exploitation requires the     retry interceptor enabled, an upstream returning a mismatched partial response, and a downstream forwarder     that does not remove or recalculate Content-Length. The issue is fixed in undici 6.28.0, 7.29.0, and     8.9.0. (CVE-2026-16728)

    undici's setCookie function does not fully sanitize cookie attributes. In undici before 6.28.0, from 7.0.0     up to before 7.29.0, and from 8.0.0 up to before 8.9.0, a domain value is not checked for semicolons and     entries in the unparsed array are not sanitized, so attacker-influenced input can inject additional cookie     attributes. For example, a domain value containing a semicolon can append attributes such as SameSite, and     an unparsed entry can inject attributes such as HttpOnly, without the caller setting them. Applications     that pass user-controlled input to these fields, such as multi-tenant or reverse-proxy servers that scope     session cookies to a tenant-supplied domain, can have SameSite CSRF protections bypassed, or the Secure,     HttpOnly, and SameSite attributes forced, stripped, or overridden. The issue is fixed in undici 6.28.0,     7.29.0, and 8.9.0. (CVE-2026-16729)

    node-tar is a full-featured Tar for Node.js. Prior to 7.5.16, tar (node-tar) applies a PAX extended     header's size= record (and other PAX overrides) to the next header entry of any type, including     intermediary metadata headers such as a GNU long-name (L) or long-link (K) entry. Per POSIX pax, a PAX     extended header (x) describes the next file entry, not the intermediary extension headers that may sit     between the x header and the file it annotates. Because node-tar lets the PAX size override the byte     length of an intervening L/K/x header, an attacker can desynchronize node-tar's stream cursor relative to     every other mainstream tar implementation (GNU tar, libarchive/bsdtar, Python tarfile, and the now-fixed     tar-rs / astral-tokio-tar). The result is a tar parser interpretation differential (CWE-436): a single     crafted archive yields a different set of members under node-tar than under the reference tar tools. An     attacker can use this to hide a member from one parser while it is visible to another, which defeats     security tooling whose scanner and extractor disagree on archive contents (e.g. a malware/secret scanner     that lists entries with one library while a downstream step extracts with another) This vulnerability is     fixed in 7.5.16. (CVE-2026-53655)

    HTTP/2 retained headers can bypass maxSessionMemory limits (CVE-2026-56846)

    A flaw in Node.js Permission Model enforcement allows `trace_events.createTracing().enable()` Writes Trace     Logs Outside `--allow-fs-write`.This can lead to confidentiality impact or bypass of the intended security     boundary under affected configurations.This vulnerability affects Node.js **22.x**, **24.x**, and
    **26.x**. (CVE-2026-56847)

    A flaw in Node.js HTTP/2 handling allows nghttp2_session_mem_send() to be called re-entrantly while     nghttp2_session_mem_recv() is executing, resulting in a heap-use-after-free. (CVE-2026-56848)

    A flaw in Node.js HTTPS Agent connection reuse can cause PFX object-array key collisions, allowing mutual     TLS (mTLS) client identities to be reused across requests configured with different client     certificates.This vulnerability affects Node.js **26.x**, **24.x**, and **22.x**. (CVE-2026-56850)

    A flaw in Node.js Permission Model enforcement allows process.report writes (and overwrites) files outside
    --allow-fs-write paths.

    This can lead to confidentiality impact or bypass of the intended security boundary under affected     configurations. (CVE-2026-58039)

    An incomplete fix has been identified in Node.js: HTTPS Agent TLS session reuse skips hostname     verification across identity policies (incomplete fix of CVE-2026-48934).This vulnerability affects     Node.js **22.x**, **24.x**, and **26.x**. (CVE-2026-58040)

    NOTE: https://nodejs.org/en/blog/vulnerability/july-2026-security-releases#nodesqlite-sqltagstore-     iterator-replay-can-re-execute-writes-cve-2026-58041---medium (CVE-2026-58041)

    A flaw in Node.js can cause dns.resolveAny() to abort the process when a DNS response contains more than     256 A records.

    Repeated triggering of this condition can lead to denial of service. (CVE-2026-58042)

    A flaw in Node.js Permission Model enforcement can over-grant filesystem access across radix-tree prefix     boundaries.Under `--permission`, an attacker who is granted access to one path can abuse boundary handling     to read from or write to paths outside the intended filesystem allowlist.This vulnerability affects     Node.js **main**, **22.x**, **24.x**, and **26.x**. (CVE-2026-58043)

    NOTE: https://nodejs.org/en/blog/vulnerability/july-2026-security-releases#http-parser-header-truncation-     can-enable-request-smuggling-cve-2026-58044---low (CVE-2026-58044)

    NOTE: https://nodejs.org/en/blog/vulnerability/july-2026-security-releases#nodezlib-sync-apis-can-crash-     on-spoofed-typedarray-length-cve-2026-58045---medium (CVE-2026-58045)

    node-tar is a tar archive manipulation library for Node.js. Prior to 7.5.18, node-tar coerces all-digit     PAX path and linkpath values in src/pax.ts to JavaScript numbers, causing downstream path handling such as     normalizeWindowsPath(entry.path).split('/') to throw an uncaught TypeError. This issue is fixed in version     7.5.18. (CVE-2026-59871)

    node-tar is a tar archive manipulation library for Node.js. Prior to 7.5.19, node-tar does not enforce     hard upper bounds on total decompressed data, entry counts, or decompression ratio in extraction and     parsing paths such as src/extract.ts, allowing a small crafted gzip bomb to exhaust disk space and CPU.
    This issue is fixed in version 7.5.19. (CVE-2026-59873)

    node-tar is a tar archive manipulation library for Node.js. Prior to 7.5.18, tar.replace accepts a     checksum-valid tar header with a negative base-256 encoded entry size, causing the archive scanner to make     no progress while repeatedly parsing the same header. This issue is fixed in version 7.5.18.
    (CVE-2026-59874)

    node-tar is a tar archive manipulation library for Node.js. Prior to 7.5.17, node-tar does not strip NUL     bytes from PAX path and linkpath records in src/pax.ts, allowing a crafted archive with values to reach     fs.lstat or fs.open and terminate the process with an uncaught exception. This issue is fixed in version     7.5.17. (CVE-2026-59875)

    CPU-exhaustion denial of service via unbounded DNS name compression pointer chains (CVE-2026-69184)

Tenable has extracted the preceding description block directly from the tested product security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

The Linux/Unix host has one or more packages installed that are impacted by a vulnerability without a vendor supplied patch available.

  - node-tar is a tar archive manipulation library for Node.js. Prior to 7.5.17, node-tar does not strip NUL     bytes from PAX path and linkpath records in src/pax.ts, allowing a crafted archive with values to reach     fs.lstat or fs.open and terminate the process with an uncaught exception. This issue is fixed in version     7.5.17. (CVE-2026-59875)

Note that Nessus relies on the presence of the package as reported by the vendor.

ID	Name	Product	Family	Published	Updated	Severity
465905	Echo: tar: security update to 7.5.17	Tenable Self-Hosted Container Security	Echo Local Security Checks	10/2/2026	10/5/2026	medium
465905	Echo: tar: security update to 7.5.17	Tenable Cloud Security	Echo Local Security Checks	10/2/2026	10/5/2026	medium
325935	Linux Distros 未修補弱點：CVE-2026-59875	Nessus	Misc.	7/9/2026	9/4/2026	medium
325935	Linux Distros 未修补的漏洞：CVE-2026-59875	Nessus	Misc.	7/9/2026	9/4/2026	medium
337228	Amazon Linux 2023：nodejs24、nodejs24-devel、nodejs24-full-i18n (ALAS2023-2026-2059)	Nessus	Amazon Linux Local Security Checks	8/18/2026	8/25/2026	critical
337228	Amazon Linux 2023 : nodejs24、nodejs24-devel、nodejs24-full-i18n (ALAS2023-2026-2059)	Nessus	Amazon Linux Local Security Checks	8/18/2026	8/25/2026	critical
337228	Amazon Linux 2023 : nodejs24、nodejs24-devel、nodejs24-full-i18n (ALAS2023-2026-2059)	Nessus	Amazon Linux Local Security Checks	8/18/2026	8/25/2026	critical
325935	Linux Distros のパッチ未適用の脆弱性: CVE-2026-59875	Nessus	Misc.	7/9/2026	9/4/2026	medium
337228	Amazon Linux 2023 : nodejs24, nodejs24-devel, nodejs24-full-i18n (ALAS2023-2026-2059)	Nessus	Amazon Linux Local Security Checks	8/18/2026	8/25/2026	critical
325935	Linux Distros Unpatched Vulnerability : CVE-2026-59875	Nessus	Misc.	7/9/2026	9/4/2026	medium

Detections

Analytics

Plugins Search

medium

medium

medium

medium

critical

critical

critical

medium

critical

medium