Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - 1.8.5 より前の shell-quote は、Array.prototype.concat を reduce アキュムレーターとして使用して parse() で解析されたトークンをファイナライズします。これは、反復するたびに、増加する配列全体を再割り当てしてコピーします。その結果、parse() は入力トークンの数に対して O(n^2) 時間で実行されます。攻撃者が制御する文字列を、parse() を呼び出す任意のコードパスに供給できる攻撃者は(シェルのメタ文字は不要で、平文なスペース区切りの単語で十分です)、小さな入力でシングルスレッドのNode.jsイベントループを長期間ブロックし、サービス拒否を引き起こす可能性があります。コードの実行やデータ漏洩はありません。影響は可用性にのみ影響します。1.8.5 で修正されました。(CVE-2026-13311)

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

検出

Linux Distros のパッチ未適用の脆弱性: CVE-2026-13311

high Nessus プラグイン ID 323323

バージョン 1.3