Node.js

Node.js 的公开漏洞报告、类别分布与常见资产。

攻击面

弱点类别分布

• 访问控制34
• 拒绝服务24
• 密码学缺陷21
• 注入与走私20
• 内存破坏20
• 其他弱点8
• 路径遍历7
• 代码执行7
• 业务逻辑5
• 信息泄露3
• 身份认证2
• 跨站脚本1
• 服务端请求伪造1
• 错误配置1

主要弱点

• 资源消耗失控23
• 访问控制缺陷（通用）22
• HTTP 请求走私17
• 权限提升10
• 路径遍历7
• 密码学问题（通用）6
• 证书校验不当6
• TOCTOU 竞态条件4
• 内存破坏（通用）3
• Unlabeled3

常见资产

• https://github.com/nodejs/nodeSOURCE_CODE · 144
• · 10

高票报告

当前状态 13 份 · 全部 154

1. 55
   CWE-195 in ExternalMemoryAccounter::Increase()内存破坏 · 2025-08-26 · 未评级
   $0Unlabeled
2. 44
   NULL pointer dereference in node:sqlite DatabaseSync#applyChangeset() via malformed SQLite changeset内存破坏 · 2026-05-24 · 高危
   $0空指针解引用
3. 41
   Incomplete Fix for CVE-2026-21637: OCSPRequest and resumeSession Events Crash Node.js TLS Server via Unhandled Synchronous Exceptions拒绝服务 · 2026-06-12 · 高危
   $0资源消耗失控
4. 39
   Windows Device Names Still Allow Path Traversal in UNC Paths After CVE-2025-27210 Fix路径遍历 · 2025-07-29 · 高危
   $0路径遍历
5. 32
   Memory Corruption via TOCTOU Race in SharedArrayBuffer UTF-8 Decode (`StringBytes::Encode`)业务逻辑 · 2026-05-24 · 高危
   $0TOCTOU 竞态条件
6. 24
   Missing AES-GCM Authentication Tag Validation and Improper Deprecation Handling密码学缺陷 · 2025-12-20 · 高危
   $0Missing Required Cryptographic Step
7. 20
   Permissions can be bypassed via arbitrary code execution through abusing libuv signal pipes访问控制 · 2024-08-08 · 未评级
   $0权限提升
8. 13
   Node --run POSIX positional argument escaping allows shell command injection代码执行 · 2026-06-23 · 高危
   $0操作系统命令注入
9. 3
   Child process environment injection via prototype pollution代码执行 · 2020-07-04 · 未评级
   $0代码注入
10. 3
    Hostname spoofing其他弱点 · 2020-01-10 · 未评级
    $0Unlabeled
11. 2
    CRLF Injection in legacy url API (url.parse().hostname)注入与走私 · 2020-01-11 · 中危
    $0CRLF 注入
12. 2
    Use After Free in crypto.randomFill内存破坏 · 2020-01-15 · 未评级
    $0释放后使用
13. 1
    Http response is not ended although underlying socket is already destroyed拒绝服务 · 2020-01-16 · 未评级
    $0资源消耗失控