Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - fast-xml-parser を使用すると、ユーザーは C/C++ ベースのライブラリやコールバックなしで JS オブジェクトから XML を処理できます。
    バージョン 4.0.0-beta.3 から 5.5.5 数値文字参照&#NNN;、&#xH;および標準 XML エンティティがエンティティ拡張制限たとえば、maxTotalExpansions、maxExpandedLengthを完全に回避するバイパスの脆弱性が含まれています。これは、 修正のために追加されました CVE-2026-26278、XML エンティティ拡張のサービス拒否が引き起こされる可能性があります。原因は、OrderedObjParser.js の replaceEntitiesValue() が、DOCTYPE で定義されたエンティティの拡張カウントのみを強制するのに対し、数値/標準エンティティを処理する lastEntities ループは、カウントを一切実行しないことです。A のような 1M の数値エンティティ参照を供給する攻撃者が、147MB のメモリ割り当てと大量の CPU 使用率を強制し、開発者が厳格な制限を構成した場合でも、プロセスをクラッシュさせる可能性があります。この問題はバージョン 5.5.6で修正されています。(CVE-2026-33036)

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

検出

Linux Distros のパッチ未適用の脆弱性: CVE-2026-33036

high Nessus プラグイン ID 303270

バージョン 1.7