Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - Next.js は、フルスタック Web アプリケーションを構築するための React フレームワークです。バージョン 16.0.1 からバージョン 16.1.7より前の 、「origin: null」が、Server Action CSRF の検証中に欠落したオリジンとして扱われていました。結果として、不透明なコンテキストサンドボックス化された iframe などからのリクエストは、クロスオリジンリクエストとして検証されるのではなく、オリジン検証をバイパスする可能性があります。攻撃者が、被害者のブラウザにサンドボックス化されたコンテキストからサーバーアクションを送信させることで、被害者の認証情報CSRFを使用して状態変更アクションを実行する可能性があります。これは、「null」を明示的なオリジン値として扱い、「null」が「experimental.serverActions.allowedOrigins 16.1.7 」で明示的に許可リストに載っていない限り、「null」を明示的なオリジン値として扱い、ホスト/オリジンチェックを実行することにより、バージョン [] で修正されています。アップグレードがすぐに実行できない場合は、機密の Server Actions 用の CSRF トークンを追加し、機密の auth クッキーで「SameSite=Strict」を優先する、あるいは 意図的に必要で追加的に保護されない限り、「serverActions.allowedOrigins」の「null」を許可しないでください。
    (CVE-2026-27978)

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

検出

Linux Distros のパッチ未適用の脆弱性: CVE-2026-27978

medium Nessus プラグイン ID 302959

バージョン 1.2