Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - fast-uri は、Node.js 用の URI パーサーです。解析中、これはスキームコンポーネントに対してレガシーデコーディングパスを実行し、結果を再エスケープすることはありません。また、シリアル化は、再エスケープされるホストコンポーネントとは異なり、スキームを逐語的に書き戻します。その結果、パーセントエンコードされたスラッシュを含むスキームを持つ入力は、権限のないスキームとして解析されるため、解析されるホストとエラーは両方とも定義されませんが、同じ入力を解決または正規化すると、その権限が攻撃者が選択し、そのホストに対して再解析されるネットワークパス参照を発行します。解析されたホストで許可リストに登録したり、権限のない参照をそのベースに対して安全に解決できるものとして扱うアプリケーションは、チェックした結果と逆の結果を取得し、オフサイトリダイレクト、サーバー側のリクエスト偽造、アドレスポリシーのバイパスを引き起こします。また、レガシーデコーダーは非標準のエスケープフォームを拡張し、問題を上流フィルターを超えて拡大し、スキーム内の制御文字が生のキャリッジリターンと改行として出力に到達する可能性があります。影響を受けるバージョンは、2.4.5までは2.3.1されていますが、は含まれていませんが、3.1.6までは3.0.0、4.0.0は4.1.3までですが、含まれていません。この問題は 2.4.5、 3.1.6、 4.1.3 で修正され、デコード後に有効でないスキームを拒否します。ユーザーは、パッチを適用したバージョンにアップグレードする必要があります。(CVE-2026-76172)

Nessus は、ベンダーから報告されたパッケージの存在に依存していることに注意してください。

検出

Linux Distros のパッチ未適用の脆弱性: CVE-2026-76172

high Nessus プラグイン ID 339303

バージョン 1.1