Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - Next.js は、フルスタック Web アプリケーションを構築するための React フレームワークです。バージョン 16.0.1 で起動され、バージョン 16.1.7より前の では、「next dev」で、内部の websocket エンドポイントに対するクロスサイト保護が「Origin: null」をバイパスケースとして処理する可能性があります。これは「allowedDevOrigins」が構成されていても、privacy-sensider/ が構成されている場合でも同じことが言えます。 opaque コンテキストサンドボックス化されたドキュメントなどが予期せず接続されるようになります。攻撃者が制御するコンテンツから dev サーバーが到達可能な場合、攻撃者が HMR websocket チャネルに接続し、dev websocket トラフィックと相互作用できる可能性があります。これは開発モードにのみ影響します。構成された「allowedDevOrigins」のないアプリは、依然として、あらゆる生成元からの接続を許可します。この問題は、他のオリジンに使用される同じクロスサイトオリジン許容チェックを通じて「Origin: null」を検証することにより、バージョン 16.1.7 で修正されます。アップグレードがすぐに不可能な場合は、プロキシで「Origin」が「null」の場合、信頼できないネットワークに「next dev」をさらしたり、「/_next/webpack-hmr」への websocket アップグレードをブロックしたりしないでください。CVE-2026-27977

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

検出

Linux Distros のパッチ未適用の脆弱性: CVE-2026-27977

low Nessus プラグイン ID 302939

バージョン 1.2

バージョン 1.1

バージョン 1.2 Mar 20, 2026, 10:49 AM CVSS metrics ("CVSSv2 score" set to 6.4) CVSS metrics ("CVSSv2 vector" set to "CVSS2#AV:N/AC:L/Au:N/C:P/I:P/A:N") Plugin Feed: 202603201049
バージョン 1.1 Mar 19, 2026, 12:10 PM New Plugin Feed: 202603191210