Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - form-data は、読み取り可能なマルチパート/フォームデータストリームを作成するためのライブラリです。4.0.5 までのバージョンでは、「FormData#append」に対する「field」引数と「filename」オプションは、キャリッジリターン(CR)、改行(LF)、または二重引用符()文字をエスケープすることなく、「Content-Disposition」ヘッダーに逐語的に連結されます。攻撃者が制御するデータをフィールド名またはファイル名として渡すアプリケーション(JSON オブジェクトキーをマルチパートフィールド名に変換するAPIゲートウェイなど)により、攻撃者はアプリケーションがバックエンドに転送するリクエストにヘッダー行を終了させて追加のヘッダーを挿入したり、追加のマルチパート全体をスマグリングしたりする可能性があります。これにより、攻撃者がフォームフィールドを追加または上書きできる可能性があります(例:
    「is_admin=true」)をダウンストリームパーサーが認識できるものに設定します。これは、CWE-93(CRLF インジェクション)のインスタンスです。この修正は、フィールド名およびファイル名で CR、LF、および '' を「%0D」、「%0A」、および「%22」としてエスケープし、WHATWG HTML マルチパート/フォームデータエンコーディングアルゴリズムに従ってシリアル化ブラウザが使用するのと一致します。悪用では、消費するアプリケーションが、信頼できない入力をフィールド名またはファイル名として使用する必要があります。固定された/信頼できるフィールド名のみを使用するアプリケーションは影響を受けません。2.5.6、3.0.5、および 4.0.6 で修正されました。(CVE-2026-12143)

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

検出

Linux Distros のパッチ未適用の脆弱性: CVE-2026-12143

high Nessus プラグイン ID 320982

バージョン 1.3