Node.js

Node.js 的公开漏洞报告、类别分布与常见资产。

攻击面

弱点类别分布

• 访问控制34
• 拒绝服务24
• 密码学缺陷21
• 注入与走私20
• 内存破坏20
• 其他弱点8
• 路径遍历7
• 代码执行7
• 业务逻辑5
• 信息泄露3
• 身份认证2
• 跨站脚本1
• 服务端请求伪造1
• 错误配置1

主要弱点

• 资源消耗失控23
• 访问控制缺陷（通用）22
• HTTP 请求走私17
• 权限提升10
• 路径遍历7
• 密码学问题（通用）6
• 证书校验不当6
• TOCTOU 竞态条件4
• 内存破坏（通用）3
• Unlabeled3

常见资产

• https://github.com/nodejs/nodeSOURCE_CODE · 144
• · 10

高票报告

当前状态 154 份 · 全部 154

1. 35
   Windows Device Names (CON, PRN, AUX) Bypass Path Traversal Protection in path.normalize()路径遍历 · 2025-07-16 · 高危
   $0路径遍历
2. 35
   Permission model improperly processes UNC paths访问控制 · 2024-07-15 · 低危
   $0权限提升
3. 35
   registry.nodejs.org Subdomain Takeover密码学缺陷 · 2018-05-05 · 未评级
   $0中间人攻击
4. 34
   FS Permissions Bypass访问控制 · 2026-02-12 · 高危
   $0违反安全设计原则（按标题归类）
5. 34
   fs.futimes() Bypasses Read-Only Permission Model访问控制 · 2026-01-15 · 低危
   $0访问控制缺陷（通用）
6. 34
   Memory leak that enables remote Denial of Service against applications processing TLS client certificates拒绝服务 · 2026-02-12 · 中危
   $0资源消耗失控
7. 34
   Potential HTTP Request Smuggling in nodejs注入与走私 · 2021-01-07 · 低危
   $250HTTP 请求走私
8. 33
   Permission Model: --allow-fs-read/--allow-fs-write radix-tree prefix-boundary over-grant访问控制 · 2026-07-30 · 高危
   $0访问控制缺陷（通用）
9. 33
   HTTP/2 sessions never clean up after GOAWAY on invalid protocol errors拒绝服务 · 2026-06-19 · 中危
   $0资源消耗失控
10. 32
    Memory Corruption via TOCTOU Race in SharedArrayBuffer UTF-8 Decode (`StringBytes::Encode`)业务逻辑 · 2026-05-24 · 高危
    $0TOCTOU 竞态条件
11. 30
    Improper Input Validation — HTTP Response Parser Unconditionally Accepts Bare CR in Status Line注入与走私 · 2026-07-01 · 中危
    $0HTTP 请求走私
12. 29
    TLS certificate hostname bypass when the IP is written fullwidth digits密码学缺陷 · 2026-10-23 · 高危
    $0证书校验不当
13. 29
    Permission Model Bypass via `process.report.writeReport()` Path Misvalidation访问控制 · 2026-06-18 · 低危
    $0访问控制缺陷（通用）
14. 29
    Node.js: TLS session reuse can lead to hostname verification bypass密码学缺陷 · 2020-06-03 · 高危
    $0中间人攻击
15. 27
    Denial of Service by resource exhaustion in fetch() brotli decoding拒绝服务 · 2024-03-17 · 中危
    $0资源消耗失控
16. 27
    Node.js: use-after-free in TLSWrap内存破坏 · 2021-01-05 · 高危
    $0释放后使用
17. 25
    Unbounded decompression chain in HTTP responses on Node.js Fetch API via Content-Encoding leads to resource exhaustion拒绝服务 · 2026-02-24 · 未评级
    $0Unlabeled
18. 24
    TLS certificate hostname bypass when the host loosely resolves to an IP address密码学缺陷 · 2026-10-23 · 高危
    $0证书校验不当
19. 24
    HTTPS Agent PFX object-array key collision allows mTLS client identity reuse across different per-request certificates身份认证 · 2026-07-29 · 中危
    $0认证缺陷（通用）
20. 24
    Missing AES-GCM Authentication Tag Validation and Improper Deprecation Handling密码学缺陷 · 2025-12-20 · 高危
    $0Missing Required Cryptographic Step
21. 24
    Usage of unsafe random function in undici for choosing boundary密码学缺陷 · 2025-01-23 · 中危
    $0Use of Insufficiently Random Values
22. 24
    setuid() does not drop all privileges due to io_uring访问控制 · 2024-03-17 · 高危
    $0权限提升
23. 23
    Code injection and privilege escalation through Linux capabilities访问控制 · 2024-02-16 · 高危
    $0权限提升
24. 22
    Null Dereference in X509ToObject内存破坏 · 2026-10-24 · 中危
    $0空指针解引用
25. 22
    Denial of Service via `__proto__` header name in `req.headersDistinct` (Uncaught `TypeError` crashes Node.js process)拒绝服务 · 2026-03-31 · 高危
    $0资源消耗失控