There are packages installed that are affected by a vulnerability referenced in the following CVE:

  - ### Summary `qs.stringify` throws a `TypeError` when it serializes an object whose own `constructor`
    property has a truthy, non-callable `isBuffer` member. `utils.isBuffer` duck-types buffers by calling
    `obj.constructor.isBuffer(obj)` after checking only that the property is truthy, so a value such as `{
    constructor: { isBuffer: "x" } }` makes the call throw `TypeError: obj.constructor.isBuffer is not a
    function`. ### Details `lib/stringify.js:127` calls `utils.isBuffer` on every non-primitive value it
    serializes. `utils.isBuffer` (`lib/utils.js:332`) reads `obj.constructor.isBuffer` and invokes it without
    verifying that it is a function. `constructor` and `isBuffer` are ordinary property names, so any object
    carrying them as own properties reaches the unchecked call. Such an object can be built from untrusted
    input. `qs.parse("x[constructor][isBuffer]=y", { plainObjects: true })` or `{ allowPrototypes: true }`
    keeps the `constructor` key as an own property (the default parse options drop it), and
    `JSON.parse("{\"a\":{\"constructor\":{\"isBuffer\":\"x\"}}}")` produces the same shape with no qs option
    involved. Express 4 with its default `query parser` setting and body-parser with `extended: true` both
    call `qs.parse` with `allowPrototypes: true`, so on those stacks `req.query` and `req.body` can carry the
    shape directly. #### PoC ```js var qs = require("qs"); qs.stringify(qs.parse("x[constructor][isBuffer]=y",
    { plainObjects: true })); qs.stringify(JSON.parse("{\"a\":{\"constructor\":{\"isBuffer\":\"x\"}}}")); //
    TypeError: obj.constructor.isBuffer is not a function // at Object.isBuffer (lib/utils.js:332:78) // at
    stringify (lib/stringify.js:127:45) ``` #### Fix `lib/utils.js`, applied in e83d321 on `main` and released
    as v6.16.0: ```diff - return !!(obj.constructor && obj.constructor.isBuffer &&
    obj.constructor.isBuffer(obj)); + return !!(obj.constructor && typeof obj.constructor.isBuffer ===
    "function" && obj.constructor.isBuffer(obj)); ``` Real `Buffer`, `safer-buffer`, and browserify `buffer`
    polyfill instances serialize exactly as before; only the throw is removed. ### Affected versions `>=2.2.5
    <6.16.0`, fixed in v6.16.0. The unguarded duck-type was introduced in 3768a75 and first shipped in v2.2.5
    (September 2014). v2.2.4 and earlier used `Buffer.isBuffer` and are not affected. Every release from
    v2.2.5 through v6.15.3 contains the unguarded call. ### Impact An unauthenticated request can make any
    code path that re-serializes attacker-influenced data with `qs.stringify` (for example, rebuilding a query
    string from `req.query` for a redirect or an upstream request, or serializing a parsed JSON body) throw
    synchronously. In a typical Node.js HTTP framework the throw is caught by the framework error boundary and
    the affected request returns a 500; the process survives and other requests are unaffected. Where the call
    runs outside an error boundary, such as an `async` Express 4 handler (where the throw becomes an unhandled
    promise rejection) or a background job, the process exits, so the impact in that case depends on the
    application error handling rather than on qs. (CVE-2026-82417)

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且廠商未提供可用的修補程式。

  - ### 摘要 'qs.stringify' 在序列化物件時擲回 'TypeError'，而該物件自己的 'constructor' 屬性具有真實、不可呼叫的 'isBuffer' 成員。'utils.isBuffer' 在僅檢查屬性是否為真之後，透過呼叫 'obj.constructor.isBuffer（obj）' 來躲避類型緩衝區，因此諸如 '{constructor： { isBuffer： x } }' 之類的值會使呼叫擲回 'TypeError： obj.constructor.isBuffer is not a function'。### 詳細資料 'lib/stringify.js：127' 在其序列化的每個非原始值上呼叫 'utils.isBuffer'。'utils.isBuffer' （'lib/utils.js：332'） 讀取 'obj.constructor.isBuffer' 並叫用它，而不驗證它是否是一個函數。'constructor' 和 'isBuffer' 是普通屬性名稱，因此任何將它們作為自己的屬性攜帶的物件都會到達未檢查的呼叫。這類物件可以從不受信任的輸入建置。'qs.parse（x[constructor][isBuffer]=y， { plainObjects： true }）' 或 '{ allowPrototypes： true }' 將 'constructor' 鍵保留為自己的屬性 （預設剖析選項會刪除它），而 'JSON.parse（{\a\：{\constructor\：{\isBuffer\：\x\}}}）' 會產生相同的形狀，但不涉及 qs 選項。具有預設「query parser」設定的 Express 4 和具有「extended： true」的 body-parser 都以「allowPrototypes： true」呼叫「qs.parse」，因此在這些堆疊上「req.query」和「req.body」可以直接攜帶形狀。#### PoC '''js var qs = require（qs）;qs.stringify（qs.parse（x[constructor][isBuffer]=y， { plainObjects： true }））;qs.stringify（JSON.parse（{\a\：{\constructor\：{\isBuffer\：\x\}}}））; // TypeError： obj.constructor.isBuffer 不是函數 // 在 Object.isBuffer （lib/utils.js：332：78） // 在 stringify （lib/stringify.js：127：45） ''' #### 修正 'lib/utils.js'，在 e83d321 中的 'main' 中應用並作為 v6.16.0 發布： '''diff - return ！！（obj.constructor &; obj.constructor.isBuffer &&; obj.constructor.isBuffer（obj））;+ 返回！！（obj.constructor &&; typeof obj.constructor.isBuffer === function &&; obj.constructor.isBuffer（obj））;''' Real 'Buffer'、'safer-buffer' 和 browserify 'buffer' polyfill 實例會像以前一樣序列化;只有投擲被移除。### 受影響的版本「>=2.2.5 <6.16.0」，在 v6.16.0 中修正。無人看守的鴨子類型於 3768a75 中引入，並在 v2.2.5（2014 年 9 月）中首次發布。v2.2.4 和更早版本使用「Buffer.isBuffer」，不受影響。從 v2.2.5 到 v6.15.3 的每個版本都包含不受保護的呼叫。### 影響 未經身份驗證的請求可以使任何使用「qs.stringify」重新序列化受攻擊者影響資料的程式碼路徑（例如，從「req.query」重建重新導向或上游請求的查詢字串，或序列化剖析的 JSON 本文）同步擲回。在一般Node.js HTTP架構中，架構錯誤界限會攔截擲回，而受影響的要求會傳回 500;處理程序會持續運作，其他要求不會受到影響。如果呼叫在錯誤邊界之外執行，例如「非同步」Express 4 處理常式 （擲回會變成未處理的 Promise 拒絕） 或背景作業，則處理程序會結束，因此在此情況下的影響取決於應用程式錯誤處理，而不是 qs。（CVE-2026-82417）

請注意，Nessus 的判定取決於廠商所報告的套件是否存在。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - ### 汇总 “qs.stringify”在序列化一个自身的“构造函数”属性具有真实、不可调用的“isBuffer”成员的对象时会抛出“TypeError”。“utils.isBuffer”会在仅检查属性是否为真之后调用“obj.constructor.isBuffer（obj）”来隐藏缓冲区，因此诸如“{constructor： { isBuffer： x } }”之类的值会使调用抛出“TypeError： obj.constructor.isBuffer is not a function”。### 详细信息 “lib/stringify.js：127”在其序列化的每个非原始值上调用“utils.isBuffer”。“utils.isBuffer”（“lib/utils.js：332”）读取“obj.constructor.isBuffer”并在未验证其是否为函数的情况下将其调用。'constructor' 和 'isBuffer' 是普通属性名称，因此承载它们作为自有属性的任何对象都会到达未经检查的调用。可从不受信任的输入构建此类对象。“qs.parse（x[constructor][isBuffer]=y， { plainObjects： true }）”或“{ allowPrototypes： true }”将“构造函数”密钥保留为自己的属性（默认解析选项会删除它），而“JSON.parse（{\a\：{\constructor\：{\isBuffer\：\x\}}}）”生成不涉及 qs 选项的相同形状。具有默认“query parser”设置的 Express 4 和具有“extended： true”的正文解析器都通过“allowPrototypes： true”调用“qs.parse”，因此在这些堆栈上“req.query”和“req.body”可直接携带形状。#### PoC '''js var qs = require（qs）;qs.stringify（qs.parse（x[constructor][isBuffer]=y， { plainObjects： true }））;qs.stringify（JSON.parse（{\a\：{\constructor\：{\isBuffer\：\x\}}}））; // TypeError：obj.constructor.isBuffer 不是函数 // at Object.isBuffer （lib/utils.js：332：78） // at stringify （lib/stringify.js：127：45） ''' #### 修复在 e83d321 中的“main”中应用并作为 v6.16.0 发布的“lib/utils.js”： '''diff - return！！（obj.constructor &; obj.constructor.isBuffer &&; obj.constructor.isBuffer（obj））;+ 返回！！（obj.constructor &&; typeof obj.constructor.isBuffer === 函数 &&; obj.constructor.isBuffer（obj））;''' Real 'Buffer'、'safer-buffer' 和 browserify 'buffer' polyfill 实例会像以前一样进行序列化;仅删除投掷。### 受影响的版本 '>=2.2.5 <6.16.0'，已在 v6.16.0 中修复。unguarded duck-type 是在 3768a75 中引入的，并在 v2.2.5 中首次随附（2014 年 9 月）。v2.2.4 和更早版本使用“Buffer.isBuffer”，不受影响。从 v2.2.5 到 v6.15.3 的每个版本都包含不受保护的调用。### 影响 未经身份验证的请求可以同步抛出任何通过“qs.stringify”重新序列化受攻击者影响的数据（例如，从“req.query”重建重定向或上游请求的查询字符串，或序列化解析的 JSON 正文）的代码路径。在典型的 Node.js HTTP 框架中，框架错误边界会捕获掷回，受影响的请求会返回 500;进程会正常运行，其他请求不受影响。如果调用在错误边界之外运行，例如“异步”Express 4 处理程序（其中抛出变成未处理的承诺拒绝）或后台作业，则进程会退出，因此该情况下的影响取决于应用程序错误处理方式，而不是 qs。（CVE-2026-82417）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

リモートの Fedora 43 ホストには、FEDORA-2026-c495e95154 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    34.0.4 リリース

Tenable は、前述の記述ブロックを Fedora セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - ### サマリー 「qs.stringify」は、その自身の「constructor」プロパティが真実の呼び出し不可能な「isBuffer」メンバーを持つオブジェクトをシリアル化する際に、「TypeError」をスローします。「utils.isBuffer」は、プロパティが真実であることだけをチェックした後に「obj.constructor.isBuffer(obj)」を呼び出すことによってバッファリングします。したがって、「{constructor: { isBuffer: x } }」のような値により、呼び出しは「TypeError: obj.constructor.isBuffer is not a function」をスローします。### 詳細 「lib/stringify.js:127」は、シリアル化するすべての非プリミティブな値で「utils.isBuffer」を呼び出します。「utils.isBuffer」(「lib/utils.js:332」)は「obj.constructor.isBuffer」を読み取り、それが関数であることを検証せずにそれを呼び出します。「constructor」および「isBuffer」は通常のプロパティ名であるため、これらを独自のプロパティとして持っているオブジェクトは、チェックされていない呼び出しに到達します。このようなオブジェクトは、信頼できない入力から構築される可能性があります。「qs.parse(x[constructor][isBuffer]=y, { plainObjects: true })」または「{ allowPrototypes: true }」は「constructor」キーを独自のプロパティとして保持し(デフォルトの解析オプションはそれをドロップします)、「JSON.parse({\a\:{\constructor\:{\isBuffer\:\x\}}})」は qs オプションを伴わずに同じ形状を生成します。デフォルト設定の「query parser」設定のある Express 4 と「extended: true」の body-parser はどちらも「allowPrototypes: true」で「qs.parse」を呼び出すため、これらのスタックでは「req.query」および「req.body」が直接形状を伝送できます。#### PoC '''js var qs = require(qs);qs.stringify(qs.parse(x[コンストラクター][isBuffer]=y, { plainObjects: true }));qs.stringify(JSON.parse({\a\:{\constructor\:{\isBuffer\:\x\}}})); // TypeError: obj.constructor.isBuffer は関数ではありません // Object.isBuffer (lib/utils.js:332:78) // at stringify(lib/stringify.js:127:45) ''' #### 「main」の e83d321 に適用され、v6.16.0 としてリリースされた「lib/utils.js」を修正: '''diff - return !!(obj.constructor &; obj.constructor.isBuffer &; obj.constructor.isBuffer(obj));+帰る!!(obj.constructor &; typeof obj.constructor.isBuffer === function &&; obj.constructor.isBuffer(obj));''' Real'Buffer'、'safer-buffer'、および browserify の 'buffer' polyfill インスタンスが、以前とまったく同じようにシリアル化されます。スローだけが削除されます。### 影響を受けるバージョン「>=2.2.5 <6.16.0」、v6.16.0 で修正済み。無防備な duck-type は 3768a75 で導入され、v2.2.5 (2014 年 9 月)で初めて出荷されました。v2.2.4以前は「Buffer.isBuffer」を使用しており、影響を受けません。v2.2.5 から v6.15.3 のすべてのリリースには、無防備な呼び出しが含まれています。### 影響 認証されていないリクエストにより、攻撃者の影響を受けたデータを「qs.stringify」で再シリアル化するコードパス(たとえば、リダイレクトまたはアップストリームリクエストの「req.query」からのクエリ文字列の再構築、または解析済みのJSON本文のシリアル化)が同期的にスローされる可能性があります。通常のNode.js HTTPフレームワークでは、スローがフレームワークのエラー境界によってキャッチされ、影響を受けるリクエストは500を返します。プロセスは存続し、その他のリクエストは影響を受けません。「async」Express 4ハンドラー(スローが処理されないプロミス拒否になる)やバックグラウンドジョブなどのエラー境界の外で呼び出しが実行される場合、プロセスは終了するため、その場合の影響はqsではなくアプリケーションのエラー処理に依存します。(CVE-2026-82417)

Nessus は、ベンダーから報告されたパッケージの存在に依存していることに注意してください。

リモートの Fedora 45 ホストには、FEDORA-2026-5c1bbb46c3 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    34.0.4 リリース

Tenable は、前述の記述ブロックを Fedora セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートの Fedora 44 ホストには、FEDORA-2026-362f1943c8 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    34.0.4 リリース

Tenable は、前述の記述ブロックを Fedora セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

The remote Fedora 43 host has a package installed that is affected by multiple vulnerabilities as referenced in the FEDORA-2026-c495e95154 advisory.

    34.0.4 Release

Tenable has extracted the preceding description block directly from the Fedora security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

The Linux/Unix host has one or more packages installed that are impacted by a vulnerability without a vendor supplied patch available.

  - ### Summary `qs.stringify` throws a `TypeError` when it serializes an object whose own `constructor`     property has a truthy, non-callable `isBuffer` member. `utils.isBuffer` duck-types buffers by calling     `obj.constructor.isBuffer(obj)` after checking only that the property is truthy, so a value such as `{     constructor: { isBuffer: x } }` makes the call throw `TypeError: obj.constructor.isBuffer is not a     function`. ### Details `lib/stringify.js:127` calls `utils.isBuffer` on every non-primitive value it     serializes. `utils.isBuffer` (`lib/utils.js:332`) reads `obj.constructor.isBuffer` and invokes it without     verifying that it is a function. `constructor` and `isBuffer` are ordinary property names, so any object     carrying them as own properties reaches the unchecked call. Such an object can be built from untrusted     input. `qs.parse(x[constructor][isBuffer]=y, { plainObjects: true })` or `{ allowPrototypes: true }`     keeps the `constructor` key as an own property (the default parse options drop it), and     `JSON.parse({\a\:{\constructor\:{\isBuffer\:\x\}}})` produces the same shape with no qs option     involved. Express 4 with its default `query parser` setting and body-parser with `extended: true` both     call `qs.parse` with `allowPrototypes: true`, so on those stacks `req.query` and `req.body` can carry the     shape directly. #### PoC ```js var qs = require(qs); qs.stringify(qs.parse(x[constructor][isBuffer]=y,     { plainObjects: true })); qs.stringify(JSON.parse({\a\:{\constructor\:{\isBuffer\:\x\}}})); //     TypeError: obj.constructor.isBuffer is not a function // at Object.isBuffer (lib/utils.js:332:78) // at     stringify (lib/stringify.js:127:45) ``` #### Fix `lib/utils.js`, applied in e83d321 on `main` and released     as v6.16.0: ```diff - return !!(obj.constructor && obj.constructor.isBuffer &&     obj.constructor.isBuffer(obj)); + return !!(obj.constructor && typeof obj.constructor.isBuffer ===     function && obj.constructor.isBuffer(obj)); ``` Real `Buffer`, `safer-buffer`, and browserify `buffer`     polyfill instances serialize exactly as before; only the throw is removed. ### Affected versions `>=2.2.5     <6.16.0`, fixed in v6.16.0. The unguarded duck-type was introduced in 3768a75 and first shipped in v2.2.5     (September 2014). v2.2.4 and earlier used `Buffer.isBuffer` and are not affected. Every release from     v2.2.5 through v6.15.3 contains the unguarded call. ### Impact An unauthenticated request can make any     code path that re-serializes attacker-influenced data with `qs.stringify` (for example, rebuilding a query     string from `req.query` for a redirect or an upstream request, or serializing a parsed JSON body) throw     synchronously. In a typical Node.js HTTP framework the throw is caught by the framework error boundary and     the affected request returns a 500; the process survives and other requests are unaffected. Where the call     runs outside an error boundary, such as an `async` Express 4 handler (where the throw becomes an unhandled     promise rejection) or a background job, the process exits, so the impact in that case depends on the     application error handling rather than on qs. (CVE-2026-82417)

Note that Nessus relies on the presence of the package as reported by the vendor.

The remote Fedora 44 host has a package installed that is affected by multiple vulnerabilities as referenced in the FEDORA-2026-362f1943c8 advisory.

    34.0.4 Release

Tenable has extracted the preceding description block directly from the Fedora security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

The remote Fedora 45 host has a package installed that is affected by multiple vulnerabilities as referenced in the FEDORA-2026-5c1bbb46c3 advisory.

    34.0.4 Release

Tenable has extracted the preceding description block directly from the Fedora security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

ID	名前	製品	ファミリー	公開日	更新日	深刻度
461590	Echo: qs: security update to 6.16.0	Tenable Self-Hosted Container Security	Echo Local Security Checks	2026/10/2	2026/10/27	medium
461590	Echo: qs: security update to 6.16.0	Tenable Cloud Security	Echo Local Security Checks	2026/10/2	2026/10/27	medium
341603	Linux Distros 未修補弱點：CVE-2026-82417	Nessus	Misc.	2026/8/30	2026/10/29	medium
341603	Linux Distros 未修补的漏洞：CVE-2026-82417	Nessus	Misc.	2026/8/30	2026/10/29	medium
350858	Fedora 43:nextcloud(2026-c495e95154)	Nessus	Fedora Local Security Checks	2026/9/28	2026/9/28	medium
341603	Linux Distros のパッチ未適用の脆弱性: CVE-2026-82417	Nessus	Misc.	2026/8/30	2026/10/29	medium
350860	Fedora 45:nextcloud(2026-5c1bbb46c3)	Nessus	Fedora Local Security Checks	2026/9/28	2026/9/28	medium
350859	Fedora 44:nextcloud(2026-362f1943c8)	Nessus	Fedora Local Security Checks	2026/9/28	2026/9/28	medium
350858	Fedora 43 : nextcloud (2026-c495e95154)	Nessus	Fedora Local Security Checks	2026/9/28	2026/9/28	medium
341603	Linux Distros Unpatched Vulnerability : CVE-2026-82417	Nessus	Misc.	2026/8/30	2026/10/29	medium
350859	Fedora 44 : nextcloud (2026-362f1943c8)	Nessus	Fedora Local Security Checks	2026/9/28	2026/9/28	medium
350860	Fedora 45 : nextcloud (2026-5c1bbb46c3)	Nessus	Fedora Local Security Checks	2026/9/28	2026/9/28	medium

検出

プラグインの検索

medium

medium

medium

medium

medium

medium

medium

medium

medium

medium

medium

medium