リモートホストにインストールされている Node.js のバージョンは、22.23.0、24.17.0、または 26.3.1 より前のものです。したがって、2026 年 6 月 18 日木曜日のセキュリティリリースアドバイザリーのセキュリティリリースのアドバイザリに記載されている複数の脆弱性の影響を受けます。

  - Node.js WebCrypto 実装の欠陥により、subtle.encrypt() の入力が 2GiB の倍数である場合に、プロセスがクラッシュする可能性があります。(CVE-2026-48933)

  - Node.js の TLS ホスト名処理における欠陥により、Node.js の Unicode ドット区切り文字の処理が原因で、リゾルバーとベリファイアーのホスト名正規化の不一致により、TLS のワイルドカード深度認証バイパスが発生する可能性があります。
    (CVE-2026-48618)

  - Node.js のプロキシトンネルエラー処理における欠陥により、ERR_PROXY_TUNNEL エラーメッセージにプロキシ認証情報が漏洩する可能性があります。プロキシ認証情報がプロキシ URL に埋め込まれている場合、エラー処理パスを通じて漏洩され、ログ、診断、またはその他のエラーコンシューマーによって取得される可能性があります。(CVE-2026-48615)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

したがって、ALAS2023-2026-1920 のアドバイザリに記載されている複数の脆弱性の影響を受けます。

    undici が Set-Cookie ヘッダーを解析するとき、RFC 6265 で指定された大文字と小文字を区別しない完全一致ではなく、Strict、Lax、または None を部分文字列として含む任意の SameSite 属性値を受け入れます。非仕様値は、3 つの標準トークンのいずれかに暗黙的にマッピングされます。

    SameSite=NoneOfYourBusiness は、最も許容度の高い設定である None として解析されます。SameSite=StrictLax は、Strict からのダウングレードとなる Lax として解析されます。影響を受けるアプリケーションは、サーバー応答から Set-Cookie ヘッダーを取得し (例えば、undici の fetch またはプロキシコードパスを介して)、解析された sameSite 属性を転送する、またはその値に依存するアプリケーションです。悪意のあるサーバーまたは非準拠のサーバーは、Cookie の SameSite ポリシーに対するコンシューマー側の解釈をより弱い値に強制し、Cookie が提供するはずの SameSite 制御を暗黙的に低下させる可能性があります。

    これは、Cookie 機能が追加された際に undici 5.15.0 で導入されました。(CVE-2026-11525)

    SQLite 3.53.2 より前のバージョンには、FTS5 フルテキスト検索拡張にメモリ破損の脆弱性があり、攻撃者が無効な形式の FTS5 ページデータを含む細工されたデータベースを提供することで、プロセスクラッシュ、メモリ枯渇、または任意のコード実行を引き起こす可能性があります。攻撃者は、攻撃者が制御するループ境界を介して fts5LeafSeek() で領域外読み取りを引き起こし、また、整数アンダーフローを引き起こす細工された継続ページを介して fts5ChunkIterate() でヒープバッファオーバーフロー書き込みを発生させる可能性があります。これは、悪意のあるデータベースに対して FTS5 MATCH クエリが実行された場合に悪用可能です。(CVE-2026-11822)

    SQLite 3.53.2 より前のバージョンには、FTS5 フルテキスト検索拡張にヒープベースのバッファオーバーフローの脆弱性があり、攻撃者が 4 より小さい szLeaf 値を指定する悪意のある継続ページメタデータを含む細工されたデータベースを提供することで、クラッシュを引き起こしたり、任意のコードを実行したりする可能性があります。FTS5 MATCH クエリ処理中に fts5ChunkIterate() の整数アンダーフローによって残りのバイト数が増大し、SQLITE_ENABLE_FTS5 でコンパイルされたアプリケーションで、攻撃者が制御するデータのヒープバッファオーバーフローにつながります。(CVE-2026-11824)

    undici WebSocket クライアントは、メッセージのフラグメントの累積バイトカウントに maxPayloadSize を強制しますが、フラグメント数の制限は強制しません。悪意のある WebSocket サーバーが、フレームごとおよび累積サイズの検証に合格する多数の小さいまたは空の継続フレームをストリーミングし、クライアントプロセスで無制限のメモリ増加を引き起こす可能性があります。その結果、メモリ枯渇とサービス拒否が発生します。

    影響を受けるアプリケーションは、undici WebSocket クライアント (new WebSocket(...)) または WebSocketStream API を使用しており、攻撃者が制御する、または侵害された WebSocket エンドポイントに接続するよう誘導される可能性があります。

    undici 6.17.0 以降のすべてのリリースが影響を受けます。(CVE-2026-12151)

    Node.js のプロキシトンネルエラー処理における欠陥により、ERR_PROXY_TUNNEL エラーメッセージにプロキシ認証情報が漏洩する可能性があります。

    プロキシ認証情報がプロキシ URL に埋め込まれている場合、エラー処理パスを通じて漏洩され、ログ、診断、またはその他のエラーコンシューマーによって取得される可能性があります。

    この脆弱性は、サポートされているすべてのリリースラインに影響を与えます。Node.js 22、Node.js 24、Node.js 26。
    (CVE-2026-48615)

    Node.js 権限モデルの適用における欠陥により、「process.report.writeReport()」のパス検証の誤りを利用して権限モデルをバイパスできます。これにより、影響を受ける設定で機密性に影響が及んだり、意図されたセキュリティ境界がバイパスされたりする可能性があります。この脆弱性は、サポートされているすべてのリリースラインに影響を与えます。**Node.js 22**、**Node.js 24**、**Node.js 26**。(CVE-2026-48617)

    Node.js の TLS ホスト名処理における欠陥により、Node.js の Unicode ドット区切り文字の処理が原因で、リゾルバーとベリファイアーのホスト名正規化の不一致により、TLS のワイルドカード深度認証バイパスが発生する可能性があります。

    これにより、影響を受ける設定で機密性に影響が及んだり、意図されたセキュリティ境界がバイパスされたりする可能性があります。

    この脆弱性は、サポートされているすべてのリリースラインに影響を与えます。Node.js 22、Node.js 24、Node.js 26。
    (CVE-2026-48618)

    Node.js HTTP/2 クライアントの欠陥により、サーバーが無制限の数の ORIGIN フレームを送信でき、クライアントでメモリ不足エラーが発生する可能性があります。

    この脆弱性は、サポートされているすべてのリリースラインに影響を与えます。Node.js 22、Node.js 24、Node.js 26。
    (CVE-2026-48619)

    sigstore-js は、Sigstore サービスと相互作用するための JavaScript ライブラリを提供します。3.2.1 より前のバージョンでは、@sigstore/core の preAuthEncoding 関数が PAE 文字列をバイトに変換する際に Node.js の ASCII エンコーディングを使用しているため、署名を無効にしたり、DSSE が提供する型バインディング保証を破ったりすることなく、署名後に payloadType を変化させることができます。この問題はバージョン 3.2.1 で修正されています。
    (CVE-2026-48758)

    sigstore-js は、Sigstore サービスと相互作用するための JavaScript ライブラリを提供します。4.1.1 より前は、sigstore.verify() の文書化された certificateOIDs オプションはパブリック API で受け入れられますが、検証前に破棄されるため、必要な証明書拡張 OID がチェックされることはなく、どの証明書がアーティファクトに署名できるかを制限するために certificateOIDs に依存しているアプリケーションは、未承認の証明書を受け入れてしまう可能性があります。
    この問題はバージョン 4.1.1 で修正されています。(CVE-2026-48815)

    sigstore-js は、Sigstore サービスと相互作用するための JavaScript ライブラリを提供します。3.1.1 より前は、@sigstore/verify は、バンドル v0.2 の inclusionProof-only エントリについて、tlogEntries[].integratedTime から透明性ログタイムスタンプを導出しています。しかし、包含証明パスでは integratedTime が暗号的にバインドされていないため、信頼できないバンドルを供給できる攻撃者が、証明書の有効性や timestampThreshold の検証結果に影響を与える可能性があります。この問題はバージョン 3.1.1 で修正されています。(CVE-2026-48816)

    Node.js のホスト名照合の不整合により、マルチコンテキスト mTLS セットアップで信頼ポリシーのバイパスが発生する可能性があります。

    この脆弱性は、サポートされているすべてのリリースラインに影響を与えます。Node.js 22、Node.js 24、Node.js 26。
    (CVE-2026-48928)

    Node.js の TLS ホスト名処理における欠陥により、リゾルバーバインディングでの C 文字列切り捨てが原因で、埋め込まれた NUL 文字を含むホスト名がサイレントな権限リバインディングを引き起こす可能性があります。

    この脆弱性は、サポートされているすべてのリリースラインに影響を与えます。Node.js 22、Node.js 24、Node.js 26。
    (CVE-2026-48930)

    Node.js HTTP Agent の欠陥により、クライアントがリクエストを送信する前に送信された応答を有効なものとして受け入れる可能性があります。

    この脆弱性は、サポートされているすべてのリリースラインに影響を与えます。Node.js 22、Node.js 24、Node.js 26。
    (CVE-2026-48931)

    Node.js WebCrypto 実装の欠陥により、subtle.encrypt() の入力が 2GiB の倍数である場合に、プロセスがクラッシュする可能性があります。

    この脆弱性は、サポートされているすべてのリリースラインに影響を与えます。Node.js 22、Node.js 24、Node.js 26。
    (CVE-2026-48933)

    Node.js TLS ホスト検証の欠陥により、攻撃者が証明書検証をバイパスする可能性があります。

    この脆弱性は、サポートされているすべてのリリースラインに影響を与えます。Node.js 22、Node.js 24、Node.js 26。
    (CVE-2026-48934)

    Node.js Permission API の欠陥により、例えば --allow-fs-read で読み取り専用として設定されたパスであっても、ファイルメタデータが変更される可能性があります。

    この脆弱性は、サポートされているすべてのリリースラインに影響を与えます。Node.js 22、Node.js 24、Node.js 26。
    (CVE-2026-48935)

    Node.js HTTP/2 サーバー API の欠陥により、「GOAWAY」フレームを送信した後でも、サーバーがデータを受け入れ続ける可能性があります。この脆弱性は、2 つのサポート対象リリースラインである **Node.js 22** および **Node.js 24** に影響を与えます。
    (CVE-2026-48937)

    Undici の HTTP/1.1 クライアントは、再利用されたキープアライブソケットにおける応答キューポイズニングに対して脆弱です。攻撃者が制御するアップストリームサーバーが、リクエストの完了後に、アイドル状態のソケットへ要求されていない HTTP/1.1 応答を注入する可能性があります。クライアントがそのソケット上で次のリクエストをディスパッチすると、注入された応答が新しいリクエストに関連付けられ、応答が誤ったリクエストに配信されます。

    これには、攻撃者が制御する、または侵害されたアップストリーム HTTP/1.1 サーバーと、キープアライブ接続の再利用が必要です。(CVE-2026-6733)

    Socks5ProxyAgent を使用する場合、undici は、プールのオリジンがリクエストされたオリジンと一致することを検証せずに、異なるオリジン間で単一の接続プールを再利用します。すべてのリクエストは、意図された宛先に関係なく、最初のオリジンに接続されたプールを介してディスパッチされます。

    これにより、クロスオリジンリクエストルーティングが発生します。オリジン B を対象とする認証情報とリクエストデータがオリジン A に送信され、誤ったオリジンからの応答が信頼され、HTTPS リクエストが暗黙的に HTTP にダウングレードされる可能性があります。

    影響を受けるユーザーは、Socks5ProxyAgent (直接または setGlobalDispatcher 経由) を使用し、複数のオリジンにリクエストを送信するアプリケーションです。

    これは、undici 7.23.0 で #4385 を通じて導入され、8.1.0 までのすべてのバージョンに影響します。(CVE-2026-6734)

    Upstream の Cache-Control ヘッダーが、private= authorization や no-cache=\tauthorization などの空白でパディングされた修飾付き private または no-cache フィールド名を使用している場合、Undici のキャッシュインターセプターは一部の応答をキャッシュ可能として誤って分類します。パーサーは周囲の空白を保持するため、後続のリテラルの authorization フィールド名との比較が失敗し、応答が保存されます。

    共有キャッシュモードでは、両方のリクエストが同じキャッシュキーに解決される場合、1 人のユーザーの認証済みデータを含む応答が、認証されていない呼び出し元を含む後続の呼び出し元にキャッシュから提供される可能性があります。

    影響を受けるアプリケーションは、共有モードでキャッシュインターセプター (interceptors.cache()) を明示的に有効化し、Authorization ヘッダーをアップストリームに転送し、非標準の修飾付き private または no-cache ディレクティブを含むキャッシュ可能な応答を受信するアプリケーションです。(CVE-2026-9678)

    parseSetCookie 内の undici の Cookie パーサーは、qsUnescape を介して Cookie 値をパーセントデコードし、%0D%0A、%00、%3B、%3D などのエンコードされたシーケンスを対応するリテラルバイトに変換します。RFC 6265 SS5.4 ではデコードは指定されておらず、ブラウザでもデコードされません。

    Set-Cookie ヘッダーを解析し、解析された値を応答ヘッダーに転送するアプリケーション (プロキシ、ミドルウェア、SSR フレームワーク) は、HTTP 応答ヘッダーインジェクションに対して脆弱になります。攻撃者が制御するアップストリームは、任意の Set-Cookie、Location、または Cache-Control ヘッダーをアプリケーションのダウンストリーム応答に注入し、セッション固定、オープンリダイレクト、またはキャッシュポイズニングを可能にします。

    影響を受けるアプリケーションは、undici の Cookie 解析 (parseSetCookie、parseCookie、getSetCookies) を使用し、解析された Cookie 値を応答ヘッダーに転送するアプリケーションです。

    これは、undici 7.0.0 で導入されました (CVE-2026-9679)

    SOCKS5 プロキシ URI (socks5:// または socks://) で構成されている場合、undici の ProxyAgent は requestTls オプションを警告なしに破棄します。SOCKS5 トンネルを介したターゲット HTTPS 接続は、Node のデフォルトトラストストアにフォールバックし、ユーザーが設定した ca、cert、key、rejectUnauthorized、および servername の設定を無視します。

    requestTls.ca を介して内部または企業 CA にピン留めしているアプリケーションは、プロキシ URI が SOCKS5 の場合、代わりにデフォルトの Mozilla CA バンドルをトラストアンカーとして使用します。ターゲットホスト名について、公的に信頼された CA によって署名された任意の証明書が受け入れられ、意図されたピンが破られ、HTTPS 通信の MITM による読み取りと改ざんが可能になります。

    影響を受けるアプリケーションは、undici の ProxyAgent (または Socks5ProxyAgent を直接) を SOCKS5 と共に使用し、TLS の範囲制限を requestTls に依存しているアプリケーションです。このバグは、SOCKS5 サポートが追加されたときに undici 7.23.0 に導入されました。(CVE-2026-9697)

Tenable は、前述の記述ブロックをテスト済み製品のセキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

したがって、ALAS2023-2026-1921 のアドバイザリに記載されている複数の脆弱性の影響を受けます。

    undici が Set-Cookie ヘッダーを解析するとき、RFC 6265 で指定された大文字と小文字を区別しない完全一致ではなく、Strict、Lax、または None を部分文字列として含む任意の SameSite 属性値を受け入れます。非仕様値は、3 つの標準トークンのいずれかに暗黙的にマッピングされます。

    SameSite=NoneOfYourBusiness は、最も許容度の高い設定である None として解析されます。SameSite=StrictLax は、Strict からのダウングレードとなる Lax として解析されます。影響を受けるアプリケーションは、サーバー応答から Set-Cookie ヘッダーを取得し (例えば、undici の fetch またはプロキシコードパスを介して)、解析された sameSite 属性を転送する、またはその値に依存するアプリケーションです。悪意のあるサーバーまたは非準拠のサーバーは、Cookie の SameSite ポリシーに対するコンシューマー側の解釈をより弱い値に強制し、Cookie が提供するはずの SameSite 制御を暗黙的に低下させる可能性があります。

    これは、Cookie 機能が追加された際に undici 5.15.0 で導入されました。(CVE-2026-11525)

    SQLite 3.53.2 より前のバージョンには、FTS5 フルテキスト検索拡張にメモリ破損の脆弱性があり、攻撃者が無効な形式の FTS5 ページデータを含む細工されたデータベースを提供することで、プロセスクラッシュ、メモリ枯渇、または任意のコード実行を引き起こす可能性があります。攻撃者は、攻撃者が制御するループ境界を介して fts5LeafSeek() で領域外読み取りを引き起こし、また、整数アンダーフローを引き起こす細工された継続ページを介して fts5ChunkIterate() でヒープバッファオーバーフロー書き込みを発生させる可能性があります。これは、悪意のあるデータベースに対して FTS5 MATCH クエリが実行された場合に悪用可能です。(CVE-2026-11822)

    SQLite 3.53.2 より前のバージョンには、FTS5 フルテキスト検索拡張にヒープベースのバッファオーバーフローの脆弱性があり、攻撃者が 4 より小さい szLeaf 値を指定する悪意のある継続ページメタデータを含む細工されたデータベースを提供することで、クラッシュを引き起こしたり、任意のコードを実行したりする可能性があります。FTS5 MATCH クエリ処理中に fts5ChunkIterate() の整数アンダーフローによって残りのバイト数が増大し、SQLITE_ENABLE_FTS5 でコンパイルされたアプリケーションで、攻撃者が制御するデータのヒープバッファオーバーフローにつながります。(CVE-2026-11824)

    undici WebSocket クライアントは、メッセージのフラグメントの累積バイトカウントに maxPayloadSize を強制しますが、フラグメント数の制限は強制しません。悪意のある WebSocket サーバーが、フレームごとおよび累積サイズの検証に合格する多数の小さいまたは空の継続フレームをストリーミングし、クライアントプロセスで無制限のメモリ増加を引き起こす可能性があります。その結果、メモリ枯渇とサービス拒否が発生します。

    影響を受けるアプリケーションは、undici WebSocket クライアント (new WebSocket(...)) または WebSocketStream API を使用しており、攻撃者が制御する、または侵害された WebSocket エンドポイントに接続するよう誘導される可能性があります。

    undici 6.17.0 以降のすべてのリリースが影響を受けます。(CVE-2026-12151)

    Node.js のプロキシトンネルエラー処理における欠陥により、ERR_PROXY_TUNNEL エラーメッセージにプロキシ認証情報が漏洩する可能性があります。

    プロキシ認証情報がプロキシ URL に埋め込まれている場合、エラー処理パスを通じて漏洩され、ログ、診断、またはその他のエラーコンシューマーによって取得される可能性があります。

    この脆弱性は、サポートされているすべてのリリースラインに影響を与えます。Node.js 22、Node.js 24、Node.js 26。
    (CVE-2026-48615)

    Node.js 権限モデルの適用における欠陥により、「process.report.writeReport()」のパス検証の誤りを利用して権限モデルをバイパスできます。これにより、影響を受ける設定で機密性に影響が及んだり、意図されたセキュリティ境界がバイパスされたりする可能性があります。この脆弱性は、サポートされているすべてのリリースラインに影響を与えます。**Node.js 22**、**Node.js 24**、**Node.js 26**。(CVE-2026-48617)

    Node.js の TLS ホスト名処理における欠陥により、Node.js の Unicode ドット区切り文字の処理が原因で、リゾルバーとベリファイアーのホスト名正規化の不一致により、TLS のワイルドカード深度認証バイパスが発生する可能性があります。

    これにより、影響を受ける設定で機密性に影響が及んだり、意図されたセキュリティ境界がバイパスされたりする可能性があります。

    この脆弱性は、サポートされているすべてのリリースラインに影響を与えます。Node.js 22、Node.js 24、Node.js 26。
    (CVE-2026-48618)

    Node.js HTTP/2 クライアントの欠陥により、サーバーが無制限の数の ORIGIN フレームを送信でき、クライアントでメモリ不足エラーが発生する可能性があります。

    この脆弱性は、サポートされているすべてのリリースラインに影響を与えます。Node.js 22、Node.js 24、Node.js 26。
    (CVE-2026-48619)

    Node.js のホスト名照合の不整合により、マルチコンテキスト mTLS セットアップで信頼ポリシーのバイパスが発生する可能性があります。

    この脆弱性は、サポートされているすべてのリリースラインに影響を与えます。Node.js 22、Node.js 24、Node.js 26。
    (CVE-2026-48928)

    Node.js の TLS ホスト名処理における欠陥により、リゾルバーバインディングでの C 文字列切り捨てが原因で、埋め込まれた NUL 文字を含むホスト名がサイレントな権限リバインディングを引き起こす可能性があります。

    この脆弱性は、サポートされているすべてのリリースラインに影響を与えます。Node.js 22、Node.js 24、Node.js 26。
    (CVE-2026-48930)

    Node.js HTTP Agent の欠陥により、クライアントがリクエストを送信する前に送信された応答を有効なものとして受け入れる可能性があります。

    この脆弱性は、サポートされているすべてのリリースラインに影響を与えます。Node.js 22、Node.js 24、Node.js 26。
    (CVE-2026-48931)

    Node.js WebCrypto 実装の欠陥により、subtle.encrypt() の入力が 2GiB の倍数である場合に、プロセスがクラッシュする可能性があります。

    この脆弱性は、サポートされているすべてのリリースラインに影響を与えます。Node.js 22、Node.js 24、Node.js 26。
    (CVE-2026-48933)

    Node.js TLS ホスト検証の欠陥により、攻撃者が証明書検証をバイパスする可能性があります。

    この脆弱性は、サポートされているすべてのリリースラインに影響を与えます。Node.js 22、Node.js 24、Node.js 26。
    (CVE-2026-48934)

    Node.js Permission API の欠陥により、例えば --allow-fs-read で読み取り専用として設定されたパスであっても、ファイルメタデータが変更される可能性があります。

    この脆弱性は、サポートされているすべてのリリースラインに影響を与えます。Node.js 22、Node.js 24、Node.js 26。
    (CVE-2026-48935)

    Node.js HTTP/2 サーバー API の欠陥により、「GOAWAY」フレームを送信した後でも、サーバーがデータを受け入れ続ける可能性があります。この脆弱性は、2 つのサポート対象リリースラインである **Node.js 22** および **Node.js 24** に影響を与えます。
    (CVE-2026-48937)

    Undici の HTTP/1.1 クライアントは、再利用されたキープアライブソケットにおける応答キューポイズニングに対して脆弱です。攻撃者が制御するアップストリームサーバーが、リクエストの完了後に、アイドル状態のソケットへ要求されていない HTTP/1.1 応答を注入する可能性があります。クライアントがそのソケット上で次のリクエストをディスパッチすると、注入された応答が新しいリクエストに関連付けられ、応答が誤ったリクエストに配信されます。

    これには、攻撃者が制御する、または侵害されたアップストリーム HTTP/1.1 サーバーと、キープアライブ接続の再利用が必要です。(CVE-2026-6733)

    parseSetCookie 内の undici の Cookie パーサーは、qsUnescape を介して Cookie 値をパーセントデコードし、%0D%0A、%00、%3B、%3D などのエンコードされたシーケンスを対応するリテラルバイトに変換します。RFC 6265 SS5.4 ではデコードは指定されておらず、ブラウザでもデコードされません。

    Set-Cookie ヘッダーを解析し、解析された値を応答ヘッダーに転送するアプリケーション (プロキシ、ミドルウェア、SSR フレームワーク) は、HTTP 応答ヘッダーインジェクションに対して脆弱になります。攻撃者が制御するアップストリームは、任意の Set-Cookie、Location、または Cache-Control ヘッダーをアプリケーションのダウンストリーム応答に注入し、セッション固定、オープンリダイレクト、またはキャッシュポイズニングを可能にします。

    影響を受けるアプリケーションは、undici の Cookie 解析 (parseSetCookie、parseCookie、getSetCookies) を使用し、解析された Cookie 値を応答ヘッダーに転送するアプリケーションです。

    これは、undici 7.0.0 で導入されました (CVE-2026-9679)

Tenable は、前述の記述ブロックをテスト済み製品のセキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートの SUSE Linux SLES15 / SLES_SAP15 ホストには、SUSE-SU-2026:2633-1 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    この nodejs24 の更新では、以下の問題を修正します

    24.17.0 に更新:

    - CVE-2026-2581: undici: Undici: リソースの制御されていない消費によるサービス拒否 (bsc#1268480)。
    - CVE-2026-6733: undici: undici: 再利用されたキープアライブソケットの応答キューポイズニングにより、不適切な応答配信が発生する可能性 (bsc#1268479)。
    - CVE-2026-9496: pacote: 特別に細工された「spec.rawSpec」の値を処理する際の「addGitSha」での過剰な CPU 消費により、DoS が発生する可能性 (bsc#1266318)。
    - CVE-2026-9678: undici: undici: 不適切なキャッシュコントロールヘッダー解析による情報漏洩 (bsc#1268478)。
    - CVE-2026-9679: undici:undici は、Set-Cookie パーセントデコーディングを介した HTTP ヘッダーインジェクションに対して脆弱です (bsc#1268477)。
    - CVE-2026-11525: undici: undici: Set-Cookie ヘッダーの不適切な解析によるクッキーの SameSite ポリシーが弱体化する可能性 (bsc#1268481)。
    - CVE-2026-12151:undici: undici:WebSocket フレームを通じた無制限のメモリ増加によるサービス拒否(bsc#1268482)。
    - CVE-2026-27135: nghttp2: 状態検証の欠落によるアサーション失敗が、DoS につながる可能性 (bsc#1259853)。
    - CVE-2026-40170: ngtcp2: qlog parameters_set のスタックバッファオーバーフロー (bsc#1262274)。
    - CVE-2026-42338: ip-address: 信頼できない入力の不適切な HTML エスケープによるクロスサイトスクリプティング (bsc#1268097)。
    - CVE-2026-48615: プロキシ認証情報がエラーメッセージ ERR_PROXY_TUNNEL に漏洩する可能性 (bsc#1268598)。
    - CVE-2026-48617:「process.report.writeReport()」パスの検証の誤検証による、権限モデルの強制バイパス (bsc#1268554)。
    - CVE-2026-48618: Node.js の Unicode ドット区切り文字の処理は、リゾルバーとベリファイアーのホスト名正規化の不一致により、TLS のワイルドカード深度認証バイパスを引き起こす可能性があります (bsc#1268593)。
    - CVE-2026-48619: 攻撃者が制御する ORIGIN フレームによる node:http2 クライアントにおける際限のないメモリ増加 (bsc#1268618)。
    - CVE-2026-48928: 大文字の sni コンテキスト照合により、大文字と小文字の区別があるホスト名照合のために mtls 承認バイパスが発生する可能性 (bsc#1268605)。
    - CVE-2026-48930: Embedded-nul ホスト名により、リゾルバーバインディングでの c-string 切り捨てにより、サイレントな権限の再バインディングが引き起こされる可能性 (bsc#1268606)。
    - CVE-2026-48931: http.Agent における TOCTOU 競合状態を介した HTTP レスポンスキュー汚染 (bsc#1268611)。
    - CVE-2026-48933: Node.js WebCrypto AES の整数オーバーフローによる、リモートプロセスの中止 (bsc#1268592)。
    - CVE-2026-48934: 異なるサーバー名でのセッション再利用を介した TLS ホスト識別検証バイパスにより、不正な接続が発生する (bsc#1268608)。
    - CVE-2026-48935: promise API の FileHandle.utimes() を介した権限モデルのバイパス (bsc#1268609)。
    - CVE-2026-48937:「GOAWAY」フレームを送信した後でも、サーバーがデータを受け入れ続ける (bsc#1268555)。

Tenable は、前述の記述ブロックを SUSE セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - Node.js 権限モデルの実施における欠陥により、「process.report.writeReport()」パスの検証誤りを介してバイパスが可能です。これにより、影響を受ける設定で機密性に影響が及んだり、意図されたセキュリティ境界がバイパスされたりする可能性があります。この脆弱性は、サポートされているすべてのリリースラインに影響を与えます。**Node.js 22**、**Node.js 24**、**Node.js 26**。(CVE-2026-48617)

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

リモートの openSUSE 16 ホストに、複数の脆弱性の影響を受けているパッケージがインストールされています。これらの脆弱性は openSUSE-SU-2026:21058-1 アドバイザリで言及されています。

    この nodejs22 の更新では、以下の問題を修正します

    22.23.0 に更新:

    - CVE-2026-6733: undici: undici: 再利用されたキープアライブソケットの応答キューポイズニングにより、不適切な応答配信が発生する可能性 (bsc#1268479)。
    - CVE-2026-9496: pacote: 特別に細工された「spec.rawSpec」の値を処理する際の「addGitSha」での過剰な CPU 消費により、DoS が発生する可能性 (bsc#1266318)。
    - CVE-2026-9679: undici:undici は、Set-Cookie パーセントデコーディングを介した HTTP ヘッダーインジェクションに対して脆弱です (bsc#1268477)。
    - CVE-2026-11525: undici: undici: Set-Cookie ヘッダーの不適切な解析によるクッキーの SameSite ポリシーが弱体化する可能性 (bsc#1268481)。
    - CVE-2026-12151:undici: undici: WebSocket フレームを通じた無制限のメモリ増加によるサービス拒否 (bsc#1268482)。
    - CVE-2026-21637: 特定のコールバック中にスローされる同期例外は、標準の TLS エラー処理パスをバイパスし、サービス拒否を引き起こす可能性があります (bsc#1256576)。
    - CVE-2026-21710: キャッチされない TypeError 例外により、サービス拒否が引き起こされる可能性があります (bsc#1260455)。
    - CVE-2026-21713: memcmp による HMAC 検証のサイドチャネルのタイミングが、潜在的な MAC 偽造につながる可能性があります (bsc#1260463)。
    - CVE-2026-21714: ストリーム 0 の WINDOW_UPDATE フレームにより、メモリリークが発生する可能性があります (bsc#1260480)。
    - CVE-2026-21715: realpathSync.native での権限モデルバイパスにより、ファイルの存在が漏洩する可能性があります (bsc#1260482)。
    - CVE-2026-21716: promise ベースの FileHandle メソッドは、ファイルの権限および所有権を変更するために使用できます (bsc#1260462)。
    - CVE-2026-21717: 細工されたリクエストにより、容易に予測可能なハッシュ衝突が発生する可能性があります (bsc#1260494)。
    - CVE-2026-27135: nghttp2: 状態検証の欠落によるアサーション失敗が、DoS につながる可能性 (bsc#1259853)。
    - CVE-2026-40170: ngtcp2: qlog parameters_set のスタックバッファオーバーフロー (bsc#1262274)。
    - CVE-2026-42338: ip-address: 信頼できない入力の不適切な HTML エスケープによるクロスサイトスクリプティング (bsc#1268097)。
    - CVE-2026-48615: プロキシ認証情報がエラーメッセージ ERR_PROXY_TUNNEL に漏洩する可能性 (bsc#1268598)。
    - CVE-2026-48617:「process.report.writeReport()」パスの検証の誤検証による、権限モデルの強制バイパス (bsc#1268554)。
    - CVE-2026-48618: Node.js の Unicode ドット区切り文字の処理は、リゾルバーとベリファイアーのホスト名正規化の不一致により、TLS のワイルドカード深度認証バイパスを引き起こす可能性があります (bsc#1268593)。
    - CVE-2026-48619: 攻撃者が制御する ORIGIN フレームによる node:http2 クライアントにおける際限のないメモリ増加 (bsc#1268618)。
    - CVE-2026-48928: 大文字の sni コンテキスト照合により、大文字と小文字の区別があるホスト名照合のために mtls 承認バイパスが発生する可能性 (bsc#1268605)。
    - CVE-2026-48930: Embedded-nul ホスト名により、リゾルバーバインディングでの c-string 切り捨てにより、サイレントな権限の再バインディングが引き起こされる可能性 (bsc#1268606)。
    - CVE-2026-48931: http.Agent における TOCTOU 競合状態を介した HTTP レスポンスキュー汚染 (bsc#1268611)。
    - CVE-2026-48933: Node.js WebCrypto AES の整数オーバーフローによる、リモートプロセスの中止 (bsc#1268592)。
    - CVE-2026-48934: 異なるサーバー名でのセッション再利用を介した TLS ホスト識別検証バイパスにより、不正な接続が発生する (bsc#1268608)。
    - CVE-2026-48935: promise API の FileHandle.utimes() を介した権限モデルのバイパス (bsc#1268609)。
    - CVE-2026-48937:「GOAWAY」フレームを送信した後でも、サーバーがデータを受け入れ続ける (bsc#1268555)。

Tenable は、前述の記述ブロックを SUSE セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートの openSUSE 16 ホストに、複数の脆弱性の影響を受けているパッケージがインストールされています。これらの脆弱性は openSUSE-SU-2026:21236-1 アドバイザリで言及されています。

    この nodejs24 の更新では、以下の問題を修正します

    バージョン 24.18.0 (bsc#1269825) に更新してください：

    セキュリティの問題を修正:

    - CVE-2026-2581: undici: リソースの制御されていない消費によるサービス拒否 (bsc#1268480)。
    - CVE-2026-6733: undici: 再利用されたキープアライブソケットの応答キューポイズニングにより、不適切な応答配信が発生する可能性 (bsc#1268479)。
    - CVE-2026-9496: pacote: 特別に細工された「spec.rawSpec」の値を処理する際の「addGitSha」での過剰な CPU 消費により、DoS が発生する可能性 (bsc#1266318)。
    - CVE-2026-9678: undici: 不適切な「キャッシュコントロール」ヘッダー解析による情報漏洩 (bsc#1268478).
    - CVE-2026-9679: undici: 「Set-Cookie」のパーセントデコードを介した HTTP ヘッダーインジェクション (bsc#1268477)。
    - CVE-2026-11525: undici:「Set-Cookie」ヘッダーの不適切な解析によるクッキーの「SameSite」ポリシーが弱体化する可能性 (bsc#1268481)。
    - CVE-2026-12151:undici: WebSocket フレームを通じた無制限のメモリ増加によるサービス拒否 (bsc#1268482)。
    - CVE-2026-27135: nghttp2: 状態検証の欠落によるアサーション失敗が、DoS につながる可能性 (bsc#1259853)。
    - CVE-2026-40170: ngtcp2: qlog parameters_set のスタックバッファオーバーフロー (bsc#1262274)。
    - CVE-2026-42338: ip-address: 信頼できない入力の不適切な HTML エスケープによるクロスサイトスクリプティング (bsc#1268097)。
    - CVE-2026-48615: プロキシ認証情報がエラーメッセージ「ERR_PROXY_TUNNEL」に漏洩する可能性 (bsc#1268598)。
    - CVE-2026-48617:「process.report.writeReport()」パスの検証の誤検証による、権限モデルの強制バイパス (bsc#1268554)。
    - CVE-2026-48618: Unicode ドット区切り文字の処理は、リゾルバーとベリファイアーのホスト名正規化の不一致により、TLS のワイルドカード深度認証バイパスを引き起こす可能性があります (bsc#1268593)。
    - CVE-2026-48619: 攻撃者が制御する「ORIGIN」フレームによる「node:http2」クライアントにおける際限のないメモリ増加 (bsc#1268618)。
    - CVE-2026-48928: 大文字の sni コンテキスト照合により、大文字と小文字の区別があるホスト名照合のために mtls 承認バイパスが発生する可能性 (bsc#1268605)。
    - CVE-2026-48930:「embedded-nul」ホスト名により、リゾルバーバインディングでの「c-string」切り捨てにより、サイレントな権限の再バインディングが引き起こされる可能性 (bsc#1268606)。
    - CVE-2026-48931:「http.Agent」における TOCTOU 競合状態を介した HTTP レスポンスキュー汚染 (bsc#1268611)。
    - CVE-2026-48933: WebCrypto AES の整数オーバーフローによる、リモートプロセスの中止 (bsc#1268592)。
    - CVE-2026-48934: 異なる「サーバー名」でのセッション再利用を介した TLS ホスト識別検証バイパスにより、不正な接続が発生する (bsc#1268608)。
    - CVE-2026-48935:「promise」API の「FileHandle.utimes()」を介した権限モデルのバイパス (bsc#1268609)。
    - CVE-2026-48937:「GOAWAY」フレームを送信した後でも、サーバーがデータを受け入れ続ける (bsc#1268555)。

    その他の更新およびバグ修正:
    - バージョン 24.18.0:
      - doc:「blockList」の安定性ステータスをリリース候補に更新
      - fs: 呼び出し元指定の「readFile()」バッファをサポート
      - http:「closeIdleConnections」でプリリクエストソケットを閉じる
      - loader: パッケージマップを実装
      - net:「setKeepAlive」で「TCP_KEEPINTVL」および「TCP_KEEPCNT」をサポート
      - tls:「certificateCompression」オプションを追加
      - vfs:「node:fs/promises」をマウントされた VFS インスタンスにディスパッチ
      - vfs: 最小限の「node:vfs」サブシステムを追加
    - 旧バージョンの変更については、https://github.com/nodejs/node/releases を参照してください。
    - 利用できない場合は、「update-alternatives」をスクリプトレットから削除。
    - 明示的に「BuildRequire」「update-alternatives」をビルド要件として指定し、post/postun で使用されるものとしてマーク。
    - 「-fno-lifetime-dse」を「CXXFLAGS」に追加して、GCC 16 でのパラレル/テストスナップショット再現可能テストスイートの失敗を回避。

Tenable は、前述の記述ブロックを SUSE セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートのDebian 13ホストには、dsa-6517アドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    - ------------------------------------------------------------------------- Debian セキュリティアドバイザリ DSA-6517-1 security@debian.org https://www.debian.org/security/Moritz Muehlenhoff 2026 年 9 月 26 日 https://www.debian.org/security/faq
    - -------------------------------------------------------------------------

    パッケージ:nodejs CVE ID: CVE-2026-48617 CVE-2026-48618 CVE-2026-48619 CVE-2026-48928 CVE-2026-48930 CVE-2026-48931 CVE-2026-48933 CVE-2026-48934 CVE-2026-48935 CVE-2026-48937 CVE-2026-56846 CVE-2026-56847 CVE-2026-56848 CVE-2026-56850 CVE-2026-58039

    Node.jsで複数の脆弱性が発見されました。これらの脆弱性により、サービス拒否、アクセス許可モデルのバイパス、不適切な証明書検証、または情報漏えいが引き起こされる可能性があります。

    安定版(stable)ディストリビューション(trixie)では、これらの問題はバージョン 20.19.2+dfsg-1+deb13u3 で修正されています。

    お使いの nodejs パッケージをアップグレードすることを推奨します。

    nodejs の詳細なセキュリティステータスについては、そのセキュリティトラッカーページを参照してください。
    https://security-tracker.debian.org/tracker/nodejs

    Debian セキュリティアドバイザリに関する詳細、これらの更新をシステムに適用する方法、およびよくある質問については、こちらを参照してください。https://www.debian.org/security/

    メーリングリスト: debian-security-announce@lists.debian.org

前述の説明ブロックは、Tenable が Debian セキュリティアドバイザリから直接抽出したものです。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートの SUSE Linux SLES15 / SLES_SAP15 ホストには、SUSE-SU-2026:2695-1 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    - CVE-2026-48618: tls: サーバー識別チェックのためにホスト名を正規化 (bsc#1268593)。
    - CVE-2026-48933: crypto: WebCrypto 暗号の出力長を保護 (bsc#1268592)。
    - CVE-2026-48615:lib, test:トンネルエラーのプロキシ認証情報を修正 (bsc#1268598)。
    - CVE-2026-48619: http2: 制限のないメモリ増加を防ぐために originSet サイズに上限を設定 (bsc#1268618)。
    - CVE-2026-48928: tls: 大文字と小文字を区別する SNI コンテキストマッチングを修正 (bsc#1268605)。
    - CVE-2026-48930: dns, net: NUL バイトが埋め込まれたホスト名を拒否 (bsc#1268606)。
    - CVE-2026-48934: tls: 再利用可能なセッションを認証されたホストにバインドする (bsc#1268608)。
    - CVE-2026-48617: permission: WriteReport の process.chdir を処理 (bsc#1268554)。
    - CVE-2026-48931: http: http.Agent におけるレスポンスキュー汚染を修正 (bsc#1268611)。
    - CVE-2026-48935: permission: 権限モデルで FileHandle utimes を無効化 (bsc#1268609)。
    - CVE-2026-48937: http2:「GOAWAY」フレームを送信した後でも、サーバーがデータを受け入れ続ける (bsc#1268555)。
    - CVE-2026-12151:undici: WebSocket フレームを通じた無制限のメモリ増加によるサービス拒否 (bsc#1268482)。
    - CVE-2026-6733: undici: 再利用されたキープアライブソケットの応答キューポイズニングにより、不適切な応答配信が発生する可能性 (bsc#1268479)。
    - CVE-2026-9679: undici: Set-Cookie のパーセントデコードを介した HTTP ヘッダーインジェクションの脆弱性 (bsc#1268477)。
    - CVE-2026-11525: undici: Set-Cookie ヘッダーの不適切な解析によるクッキーの SameSite ポリシーが弱体化する可能性 (bsc#1268481)。
    - CVE-2026-27135: nghttp2: 状態検証の欠落によるアサーション失敗が、DoS につながる可能性 (bsc#1259853)。
    - CVE-2026-40170: ngtcp2: qlog parameters_set のスタックバッファオーバーフロー。(bsc#1262274)。
    - CVE-2026-9496: pacote: 特別に細工された「spec.rawSpec」の値を処理する際の「addGitSha」での過剰な CPU 消費 (bsc#1266318)。
    - CVE-2026-42338: ip-address: 信頼できない入力の不適切な HTML エスケープによるクロスサイトスクリプティング (bsc#1268097)。

Tenable は、前述の記述ブロックを SUSE セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートの SUSE Linux SLES15 / SLES_SAP15 ホストには、SUSE-SU-2026:2647-1 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    この nodejs22 の更新では、以下の問題を修正します

    22.23.0 に更新:

    - CVE-2026-6733: undici: undici: 再利用されたキープアライブソケットの応答キューポイズニングにより、不適切な応答配信が発生する可能性 (bsc#1268479)。
    - CVE-2026-9496: pacote: 特別に細工された「spec.rawSpec」の値を処理する際の「addGitSha」での過剰な CPU 消費により、DoS が発生する可能性 (bsc#1266318)。
    - CVE-2026-9679: undici:undici は、Set-Cookie パーセントデコーディングを介した HTTP ヘッダーインジェクションに対して脆弱です (bsc#1268477)。
    - CVE-2026-11525: undici: undici: Set-Cookie ヘッダーの不適切な解析によるクッキーの SameSite ポリシーが弱体化する可能性 (bsc#1268481)。
    - CVE-2026-12151:undici: undici:WebSocket フレームを通じた無制限のメモリ増加によるサービス拒否(bsc#1268482)。
    - CVE-2026-27135: nghttp2: 状態検証の欠落によるアサーション失敗が、DoS につながる可能性 (bsc#1259853)。
    - CVE-2026-40170: ngtcp2: qlog parameters_set のスタックバッファオーバーフロー (bsc#1262274)。
    - CVE-2026-42338: ip-address: 信頼できない入力の不適切な HTML エスケープによるクロスサイトスクリプティング (bsc#1268097)。
    - CVE-2026-48615: プロキシ認証情報がエラーメッセージ ERR_PROXY_TUNNEL に漏洩する可能性 (bsc#1268598)。
    - CVE-2026-48617:「process.report.writeReport()」パスの検証の誤検証による、権限モデルの強制バイパス (bsc#1268554)。
    - CVE-2026-48618: Node.js の Unicode ドット区切り文字の処理は、リゾルバーとベリファイアーのホスト名正規化の不一致により、TLS のワイルドカード深度認証バイパスを引き起こす可能性があります (bsc#1268593)。
    - CVE-2026-48619: 攻撃者が制御する ORIGIN フレームによる node:http2 クライアントにおける際限のないメモリ増加 (bsc#1268618)。
    - CVE-2026-48928: 大文字の sni コンテキスト照合により、大文字と小文字の区別があるホスト名照合のために mtls 承認バイパスが発生する可能性 (bsc#1268605)。
    - CVE-2026-48930: Embedded-nul ホスト名により、リゾルバーバインディングでの c-string 切り捨てにより、サイレントな権限の再バインディングが引き起こされる可能性 (bsc#1268606)。
    - CVE-2026-48931: http.Agent における TOCTOU 競合状態を介した HTTP レスポンスキュー汚染 (bsc#1268611)。
    - CVE-2026-48933: Node.js WebCrypto AES の整数オーバーフローによる、リモートプロセスの中止 (bsc#1268592)。
    - CVE-2026-48934: 異なるサーバー名でのセッション再利用を介した TLS ホスト識別検証バイパスにより、不正な接続が発生する (bsc#1268608)。
    - CVE-2026-48935: promise API の FileHandle.utimes() を介した権限モデルのバイパス (bsc#1268609)。
    - CVE-2026-48937:「GOAWAY」フレームを送信した後でも、サーバーがデータを受け入れ続ける (bsc#1268555)。

Tenable は、前述の記述ブロックを SUSE セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
322793	Node.js 22.x < 22.23.0 / 24.x < 24.17.0 / 26.x < 26.3.1 複数の脆弱性 (2026 年 6 月 18 日木曜日のセキュリティリリース)。	Nessus	Misc.	2026/6/25	2026/10/9	critical
327374	Amazon Linux 2023 : nodejs24、nodejs24-devel、nodejs24-full-i18n (ALAS2023-2026-1920)	Nessus	Amazon Linux Local Security Checks	2026/7/16	2026/7/27	high
327401	Amazon Linux 2023 : nodejs22、nodejs22-devel、nodejs22-full-i18n (ALAS2023-2026-1921)	Nessus	Amazon Linux Local Security Checks	2026/7/16	2026/7/16	high
323047	SUSE SLES15 セキュリティ更新 : nodejs24 (SUSE-SU-2026:2633-1)	Nessus	SuSE Local Security Checks	2026/6/26	2026/7/3	high
321724	Linux Distros のパッチ未適用の脆弱性: CVE-2026-48617	Nessus	Misc.	2026/6/20	2026/11/7	high
324066	openSUSE 16 セキュリティ更新: nodejs22 (openSUSE-SU-2026:21058-1)	Nessus	SuSE Local Security Checks	2026/7/1	2026/10/13	high
326024	openSUSE 16 セキュリティ更新 : nodejs24 (openSUSE-SU-2026:21236-1)	Nessus	SuSE Local Security Checks	2026/7/9	2026/10/13	high
350783	Debian dsa-6517:libnode-dev - セキュリティ更新	Nessus	Debian Local Security Checks	2026/9/26	2026/9/26	critical
324854	SUSE SLES15 セキュリティ更新 : nodejs22 (SUSE-SU-2026:2695-1)	Nessus	SuSE Local Security Checks	2026/7/2	2026/10/13	high
323244	SUSE SLES15 セキュリティ更新 : nodejs22 (SUSE-SU-2026:2647-1)	Nessus	SuSE Local Security Checks	2026/6/27	2026/7/3	high

検出

プラグインの検索

critical

high

high

high

high

high

high

critical

high

high