リモートホストにインストールされている Node.js のバージョンは、22.23.0、24.17.0、または 26.3.1 より前のものです。したがって、2026 年 6 月 18 日木曜日のセキュリティリリースアドバイザリのセキュリティリリースのアドバイザリに記載されている複数の脆弱性の影響を受けます。

  - Node.js の WebCrypto 実装の欠陥により、subtle.encrypt() への入力が 2GiB の倍数である場合、プロセスがクラッシュする可能性があります。(CVE-2026-48933)

  - Node.js の TLS ホスト名処理における欠陥により、Node.js の Unicode ドット区切り文字の処理が原因で、リゾルバーとベリファイアーのホスト名正規化の不一致により、TLS のワイルドカード深度認証バイパスが発生する可能性があります。
    (CVE-2026-48618)

  - Node.js のプロキシトンネルエラー処理における欠陥により、ERR_PROXY_TUNNEL エラーメッセージにプロキシ認証情報が漏洩する可能性があります。プロキシ認証情報がプロキシ URL に埋め込まれている場合、エラー処理パスを通じて露出し、ログ、診断、またはその他のエラーコンシューマーによって取得される可能性があります。(CVE-2026-48615)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

検出

Node.js 22.x < 22.23.0 / 24.x < 24.17.0 / 26.x < 26.3.1 複数の脆弱性 (2026 年 6 月 18 日木曜日のセキュリティリリース)。

critical Nessus プラグイン ID 322793

バージョン 1.4

バージョン 1.3

バージョン 1.1

バージョン 1.4 Jun 29, 2026, 10:30 AM CVSS metrics ("CVSSv2 score" set to 10.0) CVSS metrics ("CVSSv2 vector" set to "CVSS2#AV:N/AC:L/Au:N/C:C/I:C/A:C") CVSSv2 score source (changed from "CVE-2026-48618" to "CVE-2026-48930") Plugin Feed: 202606291030
バージョン 1.3 Jun 26, 2026, 4:08 PM CVSS temporal metrics ("CVSSv3 temporal vector" set to "CVSS:3.0/E:U/RL:O/RC:C") Exploit attributes ("Exploitability ease" set to "No known exploits are available") Plugin metadata (Add IAVM Info) Plugin Feed: 202606261608
バージョン 1.1 Jun 25, 2026, 3:43 PM New Plugin Feed: 202606251543