Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - Axios は、ブラウザおよび Node.js 用の Promise ベースの HTTP クライアントです。0.32.0 と 1.16.0 より前に、axios は 2 つの読み取り側プロトタイプ汚染ガジェットを公開します。Object.prototype が同じプロセスの Upstream 依存関係(lodash _.merge / CVE-2018-16487 など)によって汚染されると、axios は警告なしに汚染された値をピックアップします。(1) lib/utils.js 行目 406 は merge() のアキュムレータを result = {} として構築するため、result[targetKey] (行目 414) は Object.prototype を移動し、汚染されたバケット自身のキーはマージされたヘッダーにコピーされ、ワイヤに乗って渡ります。(2) lib/core/mergeConfig.js 26 行目では、 hasOwnProperty 記述子をプレーンオブジェクトリテラルとして構築します。Object.defineProperty はプロトタイプチェーンを通じて descriptor.get/descriptor.set を読み込むため、汚染された Object.prototype.get または Object.prototype.set は、呼び出しに TypeError を各 axios リクエストで同期的にスローします。この脆弱性は、0.32.0 および 1.16.0 で修正されています。(CVE-2026-44490)

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

検出

Linux Distros のパッチ未適用の脆弱性: CVE-2026-44490

high Nessus プラグイン ID 320679

バージョン 1.8