There are packages installed that are affected by a vulnerability referenced in the following CVE:

  - undici's experimental WebSocketStream client crashes the whole Node.js process when a remote peer closes
    the TCP connection without a WebSocket close handshake. On an unclean close the internal socket-close
    handler calls abort on the writable stream unconditionally and discards the returned promise, but per the
    WHATWG Streams standard aborting a locked writable returns a promise that rejects with a TypeError.
    Because the application holds a writer on that writable, which is the only way to write, the rejection is
    never observed and Node's default unhandled-rejection behavior terminates the process. An untrusted server
    can therefore crash a client with a single abrupt disconnect, with no authentication and no application
    mistake. This affects undici versions from 7.0.0 up to 7.29.1 and from 8.0.0 up to 8.10.2. Users should
    upgrade to undici 7.29.1 or 8.10.2. (CVE-2026-85014)

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - 当远程对等机在没有 WebSocket 关闭握手的情况下关闭 TCP 连接时，undici 的实验性 WebSocketStream 客户端会使整个 Node.js 进程崩溃。不干净关闭时，内部套接字关闭处理程序会无条件调用可写入流中止并丢弃返回的 promise，但根据 WHATWG 流标准中止锁定的可写入内容会返回 Promise，并因 TypeError 而拒绝。
    由于应用程序在该可写入物上保留了一个写入器，这是唯一的写入方式，因此永远不会观察到拒绝，并且 Node 的默认未处理拒绝行为会终止该进程。因此，不受信任的服务器可通过一次突然断开连接造成客户端崩溃，无需认证，也不会发生应用程序错误。这会影响最高和7.29.18.0.0最高到 8.10.2的 undici 版本。7.0.0 用户应升级到 undici 7.29.1 或 8.10.2.（CVE-2026-85014）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且廠商未提供可用的修補程式。

  - 當遠端對等體在沒有 WebSocket 關閉交握的情況下關閉 TCP 連線時，undici 的實驗性 WebSocketStream 用戶端會使整個 Node.js 進程崩潰。在不乾淨的關閉時，內部通訊端關閉處理常式會無條件地在可寫入資料流上呼叫中止，並捨棄傳回的 promise，但根據 WHATWG Streams 標準，中止鎖定的可寫資料會傳回以 TypeError 拒絕的 promise。
    因為應用程式在該可寫入專案上保留寫入器，這是唯一的寫入方式，所以永遠不會觀察到拒絕，而且節點的預設未處理拒絕行為會終止處理程序。因此，不受信任的伺服器可能會透過一次突然中斷連線而使用戶端當機，而無需驗證，也沒有應用程式錯誤。這會影響從 到 7.29.1 和從 8.10.28.0.0 到 的 undici 版本7.0.0。使用者應升級至 undici 7.29.1 或 8.10.2.（CVE-2026-85014）

請注意，Nessus 的判定取決於廠商所報告的套件是否存在。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - undici の実験的な WebSocketStream クライアントは、リモートピアが WebSocket クローズハンドシェイクなしで TCP 接続を閉じると、Node.jsプロセス全体をクラッシュします。クリーンでないクローズでは、内部のソケットクローズハンドラーが書き込み可能なストリームを中止し、返されたプロミスを破棄しますが、WHATWG ストリーム標準に従って、ロックされた書き込み可能ファイルを中止すると、TypeError で拒否するプロミスが返されます。
    アプリケーションはその書き込み可能なファイルにライターを保持するため、これが書き込みの唯一の方法であるため、拒否は検出されず、ノードのデフォルトの未処理拒否動作によってプロセスが終了します。したがって、信頼できないサーバーが、認証もアプリケーションの誤りもなく、1回の突然の切断でクライアントをクラッシュさせる可能性があります。これは、 7.0.0 から 7.29.1 まで、 8.0.0 から 8.10.2 までの undici バージョンに影響を与えます。ユーザーは、undici 7.29.1 または 8.10.2 にアップグレードする必要があります。(CVE-2026-85014)

Nessus は、ベンダーから報告されたパッケージの存在に依存していることに注意してください。

The Linux/Unix host has one or more packages installed that are impacted by a vulnerability without a vendor supplied patch available.

  - undici's experimental WebSocketStream client crashes the whole Node.js process when a remote peer closes     the TCP connection without a WebSocket close handshake. On an unclean close the internal socket-close     handler calls abort on the writable stream unconditionally and discards the returned promise, but per the     WHATWG Streams standard aborting a locked writable returns a promise that rejects with a TypeError.
    Because the application holds a writer on that writable, which is the only way to write, the rejection is     never observed and Node's default unhandled-rejection behavior terminates the process. An untrusted server     can therefore crash a client with a single abrupt disconnect, with no authentication and no application     mistake. This affects undici versions from 7.0.0 up to 7.29.1 and from 8.0.0 up to 8.10.2. Users should     upgrade to undici 7.29.1 or 8.10.2. (CVE-2026-85014)

Note that Nessus relies on the presence of the package as reported by the vendor.

ID	Name	Product	Family	Published	Updated	Severity
448463	SCA: security update for undici (GHSA-rx4f-c7p8-82vq)	Tenable Cloud Security	SCA Checks	9/29/2026	9/29/2026	high
448463	SCA: security update for undici (GHSA-rx4f-c7p8-82vq)	Tenable Self-Hosted Container Security	SCA Checks	9/29/2026	9/29/2026	high
343008	Linux Distros 未修补的漏洞：CVE-2026-85014	Nessus	Misc.	9/4/2026	11/6/2026	high
343008	Linux Distros 未修補弱點：CVE-2026-85014	Nessus	Misc.	9/4/2026	11/6/2026	high
343008	Linux Distros のパッチ未適用の脆弱性: CVE-2026-85014	Nessus	Misc.	9/4/2026	11/6/2026	high
343008	Linux Distros Unpatched Vulnerability : CVE-2026-85014	Nessus	Misc.	9/4/2026	11/6/2026	high

Detections

Analytics

Plugins Search

high

high

high

high

high

high