Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - fast-uri は、Node.js 用の URI パーサーです。解析中にホスト名のパーセントエスケープをデコードし、権限の再構成中に解析されたホスト名を 2 回デコードするため、正規化または解決を 1 回呼び出すと、ネスト化されたパーセントエンコード入力がループバックのホスト名やアドレスなどの異なるネットワークの宛先に変換される可能性があります。たとえば、ループバック名を綴る二重エンコードされたホストは、1 回の操作でそのライブホストにデコードします。これは、実装が同じ文字列を 2 回以上デコードしてはならないという RFC 3986 セクション 2.4 矛盾します。アウトバウンドルーティング、リダイレクト検証、またはホストポリシーチェックの前に、信頼できない HTTP ファミリー URI を正規化または解決するアプリケーションが、元のエンコードされたホストが表していたものとは異なる宛先を受け取ることが可能です。これにより、サーバー側のリクエスト偽造とホストポリシーバイパスプリミティブが与えられます。これは、 CVE-2026-6322 の不完全修正のバリアントです。影響を受けるバージョンは、2.4.5までは2.4.1されていますが、は含まれていませんが、3.1.6までは3.1.2、4.0.0は4.1.3までですが、含まれていません。
    この問題は、 2.4.5、 3.1.6、 4.1.3 で修正され、一度パーセントエスケープを正規化し、エンコードされたパーセント記号を保持します。ユーザーは、パッチを適用したバージョンにアップグレードする必要があります。(CVE-2026-75899)

Nessus は、ベンダーから報告されたパッケージの存在に依存していることに注意してください。

検出

Linux Distros のパッチ未適用の脆弱性: CVE-2026-75899

high Nessus プラグイン ID 339304

バージョン 1.2