Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - AdonisJS HTTP Server は、AdonisJS フレームワークで HTTP リクエストを処理するためのパッケージです。8.2.2 と 9.1.1 より前は、router.matchers.slug() によって返される正規表現には、重複する文字クラスを伴う隣接した貪欲な繰り返しが含まれています。アプリケーションがこの matcher を攻撃者が制御するルートパラメーターに適用すると、最後のアサーションで拒否された文字で終わる長いスラッグが、二次バックトラッキングと過剰な CPU 使用率を引き起こします。ルートマッチングは、ルートおよびグループミドルウェアの前に発生するため、ルートにアタッチされた認証またはレート制限ミドルウェアは、認証されていないリクエストによってNode.jsイベントループがブロックされ、ワーカーが無関係なリクエストやヘルスチェックの提供を停止することを防げない場合があります。この問題はバージョン 8.2.2および 9.1.1で修正されています。(CVE-2026-104150)

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

検出

Linux Distros のパッチ未適用の脆弱性: CVE-2026-104150

high Nessus プラグイン ID 366355

バージョン 1.3