Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - Browserslist は、フロントエンドツール間でターゲットブラウザとNode.jsバージョンを共有するための構成ツールです。4.28.7 より前は、各 browserslist() 呼び出しで getStat() と loadStat() を通じて無条件に到達した node.js の normalizeStats() は、信頼できない browserslist-stats.json、opts.stats、CLI を処理します
    --stats 無防備なデータ...ループおよびプレーンオブジェクトブラケットのアクセスと代入により、__proto__、toString、valueOf、constructor、hasOwnProperty、isPrototypeOf などの継承された Object.prototype キーが、キャッチされない TypeError を引き起こしたり、返された正規化されたオブジェクトのプロトタイプを変更したりすることが可能になります。
    この問題はバージョン 4.28.7 で修正されています。(CVE-2026-73088)

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

検出

Linux Distros のパッチ未適用の脆弱性: CVE-2026-73088

high Nessus プラグイン ID 334675

バージョン 1.11