Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - Axios は、ブラウザおよび Node.js 用の Promise ベースの HTTP クライアントです。1.15.2から1.16.0以前まで、utils.merge() によって作成されたネスト化されたオブジェクト(例:config.proxy)は、チェーン内に Object.prototype を持つプレーンな {} として構築されたままです。lib/adapters/http.js:209-223 の setProxy() 関数は、hasOwnProperty をチェックせずに、proxy.username、proxy.password、および proxy.auth を読み取ります。Object.prototype.username が汚染されると、setProxy() は攻撃者がコントロールする認証情報で Proxy-Authorization ヘッダーを構築し、それをプロキシ化されたすべての HTTP リクエストに注入します。この脆弱性は 1.16.0 で修正されました。(CVE-2026-44489)

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

検出

Linux Distros のパッチ未適用の脆弱性: CVE-2026-44489

medium Nessus プラグイン ID 320676

バージョン 1.4