Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - xmldom は、純粋な JavaScript W3C 標準ベース (XML DOM Level 2 Core) の DOMParser および XMLSerializer モジュールです。
    @xmldom/xmldom バージョン 0.8.14 および 0.9.11 以前、xmldom バージョン 0.6.0 以前では、Element.setAttribute() は属性名を検証せずにプライベート _createAttribute(name) パスを呼び出しますが、Document.createAttribute(name) は QName に対して検証します。XMLSerializer.serializeToString() は属性名を逐語的に発行しますが、 requireWellFormed: true はそれらを検証しませんでした。そのため、細工された名前によって意図された属性が終了し、イベントハンドラーなどの追加の属性がブラウザで使用される出力に注入される可能性があります。合成された xmlns:PREFIX 宣言が、同じ未チェックの名前の境界を公開します。この問題は @xmldom/xmldom バージョン 0.8.14 および 0.9.11 で修正されています。xmldom に対して利用可能な修正バージョンはありません。
    (CVE-2026-83605)

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

検出

Linux Distros のパッチ未適用の脆弱性: CVE-2026-83605

high Nessus プラグイン ID 342195

バージョン 1.3