Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - JavaScript Cookie は、クライアント側でクッキーを処理するための JavaScript API です。バージョン 3.0.7 より前では、js-cookie の内部 assign() ヘルパーはプロパティを for...in + plain 代入。ソースオブジェクトがJSON.parseによって生成されるとき、JSONオブジェクトの__proto__メンバーは独自の列挙可能なプロパティであるため、forinはそれを列挙し、target[key] = source[key]の書き込みは新しいターゲット({})でObject.prototype.__proto__セッターをトリガーします。その結果、インスタンスごとのプロトタイプのハイジャックが発生します。Object.prototype自体は変更されていませんが、マージされた属性オブジェクトは攻撃者が制御するキーを継承します。消費するset()関数は、マージされたオブジェクトを別のfor...では、攻撃者が汚染されたプロトタイプに配置したすべてのキーが、属性ペアとして結果の Set-Cookie 文字列に着地します。攻撃者は、開発者が属性がロックダウンされていると判断したクッキーでdomain=、secure=、samesite=、expires=、path=を設定できます。この問題には、バージョン 3.0.7 でパッチが適用されています。(CVE-2026-46625)

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

検出

Linux Distros のパッチ未適用の脆弱性: CVE-2026-46625

high Nessus プラグイン ID 320817

バージョン 1.2