リモートホストにインストールされている Node.js のバージョンは、22.23.0、24.17.0、または 26.3.1 より前のものです。したがって、2026 年 6 月 18 日木曜日のセキュリティリリースアドバイザリのセキュリティリリースのアドバイザリに記載されている複数の脆弱性の影響を受けます。

  - Node.js の WebCrypto 実装の欠陥により、subtle.encrypt() への入力が 2GiB の倍数である場合、プロセスがクラッシュする可能性があります。(CVE-2026-48933)

  - Node.js の TLS ホスト名処理における欠陥により、Node.js の Unicode ドット区切り文字の処理が原因で、リゾルバーとベリファイアーのホスト名正規化の不一致により、TLS のワイルドカード深度認証バイパスが発生する可能性があります。
    (CVE-2026-48618)

  - Node.js のプロキシトンネルエラー処理における欠陥により、ERR_PROXY_TUNNEL エラーメッセージにプロキシ認証情報が漏洩する可能性があります。プロキシ認証情報がプロキシ URL に埋め込まれている場合、エラー処理パスを通じて露出し、ログ、診断、またはその他のエラーコンシューマーによって取得される可能性があります。(CVE-2026-48615)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

検出

Node.js 22.x < 22.23.0 / 24.x < 24.17.0 / 26.x < 26.3.1 複数の脆弱性 (2026 年 6 月 18 日木曜日のセキュリティリリース)。

critical Nessus プラグイン ID 322793

バージョン 1.3