Node.js

Node.js 的公开漏洞报告、类别分布与常见资产。

攻击面

弱点类别分布

• 访问控制34
• 拒绝服务24
• 密码学缺陷21
• 注入与走私20
• 内存破坏20
• 其他弱点8
• 路径遍历7
• 代码执行7
• 业务逻辑5
• 信息泄露3
• 身份认证2
• 跨站脚本1
• 服务端请求伪造1
• 错误配置1

主要弱点

• 资源消耗失控23
• 访问控制缺陷（通用）22
• HTTP 请求走私17
• 权限提升10
• 路径遍历7
• 密码学问题（通用）6
• 证书校验不当6
• TOCTOU 竞态条件4
• 内存破坏（通用）3
• Unlabeled3

常见资产

• https://github.com/nodejs/nodeSOURCE_CODE · 144
• · 10

高票报告

当前状态 138 份 · 全部 154

1. 134
   HTTP Request Smuggling due to CR-to-Hyphen conversion注入与走私 · 2020-10-18 · 高危
   $0HTTP 请求走私
2. 122
   Improper HTTP header block termination in llhttp注入与走私 · 2025-06-14 · 中危
   $0HTTP 请求走私
3. 105
   HTTP request smuggling using malformed Transfer-Encoding header注入与走私 · 2020-03-08 · 严重
   $0HTTP 请求走私
4. 81
   TLS PSK/ALPN Callback Exceptions Bypass Error Handlers, Causing DoS and FD Leak拒绝服务 · 2026-02-12 · 中危
   $0资源消耗失控
5. 65
   "Assertion failed" in node::http2::Http2Session::~Http2Session() leads to HTTP/2 server crash拒绝服务 · 2024-04-09 · 高危
   $0资源消耗失控
6. 59
   Incomplete fix for CVE-2026-21637: loadSNI() in _tls_wrap.js lacks try/catch leading to Remote DoS其他弱点 · 2026-04-24 · 高危
   $0Unlabeled
7. 59
   Corrupted pointer in node::fs::ReadFileUtf8(const FunctionCallbackInfo<Value>& args) when args[0] is a string.内存破坏 · 2025-05-15 · 低危
   $0内存破坏（通用）
8. 59
   Path traversal by drive name in Windows environment路径遍历 · 2025-01-27 · 中危
   $0路径遍历
9. 53
   HashDoS in V8密码学缺陷 · 2025-07-16 · 高危
   $0密码学问题（通用）
10. 52
    Node.js permission model bypass via unchecked Unix Domain Socket connections (UDS)服务端请求伪造 · 2026-02-12 · 中危
    $0SSRF
11. 49
    HTTP Request Smuggling via Connection: close<TAB> in Node.js llhttp parser注入与走私 · 2026-07-31 · 中危
    $0HTTP 请求走私
12. 45
    Http request splitting注入与走私 · 2020-01-15 · 中危
    $0HTTP Response Splitting
13. 44
    WASI sandbox escape via symlink访问控制 · 2025-05-24 · 中危
    $0权限提升
14. 43
    Timeout-based race conditions make Uint8Array/Buffer.alloc non-zerofilled其他弱点 · 2026-02-12 · 高危
    $0Improper Initialization
15. 42
    Worker permission bypass via InternalWorker leak in diagnostics访问控制 · 2025-01-22 · 高危
    $0访问控制缺陷（通用）
16. 40
    Assertion error in node_url.cc via malformed URL format leads to Node.js crash内存破坏 · 2026-03-26 · 中危
    $0Reachable Assertion
17. 37
    HTTPS Agent TLS session reuse skips hostname verification across identity policies (incomplete fix of CVE-2026-48934)密码学缺陷 · 2026-07-30 · 中危
    $0Exploiting Incorrectly Configured SSL/TLS
18. 37
    Improper error handling in async cryptographic operations crashes process密码学缺陷 · 2025-05-15 · 高危
    $0密码学问题（通用）
19. 36
    Path traversal by monkey-patching Buffer internals路径遍历 · 2024-02-16 · 高危
    $0路径遍历
20. 35
    Permission Model bypass: process.report writes (and overwrites) files outside --allow-fs-write paths访问控制 · 2026-07-30 · 低危
    $0访问控制缺陷（通用）
21. 35
    Uncatchable "Maximum call stack size exceeded" error on Node.js via async_hooks leads to process crashes bypassing error handlers其他弱点 · 2026-02-12 · 中危
    $0Improper Handling of Exceptional Conditions
22. 35
    Windows Device Names (CON, PRN, AUX) Bypass Path Traversal Protection in path.normalize()路径遍历 · 2025-07-16 · 高危
    $0路径遍历
23. 35
    Permission model improperly processes UNC paths访问控制 · 2024-07-15 · 低危
    $0权限提升
24. 35
    registry.nodejs.org Subdomain Takeover密码学缺陷 · 2018-05-05 · 未评级
    $0中间人攻击
25. 34
    FS Permissions Bypass访问控制 · 2026-02-12 · 高危
    $0违反安全设计原则（按标题归类）