Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - AxiosはブラウザおよびNode.js向けの約束ベースのHTTPクライアントです。1.0.0から1.15.1以前まで、lib/helpers/formDataToStream.jsのFormDataPartコンストラクタは、CRLF(\r\n)シーケンスをサニタイトせずに、各マルチパートのContent-Typeヘッダーに直接補間します。Blobやファイルに似たオブジェクトの.typeプロパティを制御する攻撃者は(例:Node.jsプロキシサービス内のユーザーアップロードファイルを通じて)、任意のMIMEパートヘッダーをマルチパートフォームデータボディに注入できます。これにより、注入はHTTPリクエストヘッダーではなくマルチパートボディ構造を対象とするため、v18+の組み込みヘッダー保護をNode.js回避できます。この脆弱性は 1.15.1 で修正されました。(CVE-2026-42037)

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

検出

Linux Distros のパッチ未適用の脆弱性: CVE-2026-42037

medium Nessus プラグイン ID 310469

バージョン 1.8