Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - Loofah は、Nokogiri の上に構築された、HTML/XML ドキュメントおよびフラグメントを操作および変換するための汎用ライブラリです。2.25.0から 2.25.2まで、Loofah::HTML5::Scrub.allowed_uri? は javascript:
    または vbscript:スキームがセミコロンのない数字文字参照で分割されている URI (例: 	、、または。CGI.unescapeHTML はこれらの参照をエンコードしたままにするので、allowed_uri?ブラウザがエンコードされたコロンをデコードしたり、エンコードされた空白を削除したりして、結果として生成された URI スキームを実行する場合でも、URL セーフを報告します。この問題の影響を受けるのは、HTML でエンコードされた文字列を allowed_uri?に直接渡す呼び出し元のみです。Loofah のデフォルトの sanitize() パスは影響を受けません。この問題はバージョン 2.25.2 で修正されています。(CVE-2026-73492)

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

検出

Linux Distros のパッチ未適用の脆弱性: CVE-2026-73492

low Nessus プラグイン ID 335149

バージョン 1.2