Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - fast-uri は、Node.js 用の依存関係のない RFC 3986 URI パーサーおよびシリアライザーです。2.4.8 より前のバージョン、3.0.0 から 3.1.8、4.0.0 から 4.2.2 のバージョンでは、高速 uri は、レガシーグローバル unescape() 関数を使用してスキームコンポーネントを検証する前にパーセントデコードします。そのため、RFC 3986 がスキームでのパーセントエンコーディングを許可しておらず、他のパーサーが受け入れない場合でも、デコードされたスキームが危険なトークンである入力はライブスキームとして出力されます。生の入力で危険なスキームをスクリーニングし、正規化された結果または解決された結果を保存またはレンダリングするアプリケーションは、不活性文字列を実行可能な javascript、データ、または vbscript URL に変換し、保存または折り返し型のクロスサイトスクリプティングベクトルを生成する可能性があります。また、equal() 比較では、エンコードされたスキームとプレーンスキームを同じものとして扱うため、等価ベースの許可リストをバイパスできます。この問題は fast-uri 2.4.8、 3.1.9、 4.2.3 で修正されており、ユーザーはこれらのバージョンのいずれか以降にアップグレードする必要があります。回避策として、スキーム部分にパーセント記号が含まれている入力を拒否するか、正規化後に許可リストと照らし合わせて解析されたスキームをチェックし、未加工の文字列ではなく同じ解析結果を使用します。(CVE-2026-110306)

Nessus は、ベンダーから報告されたパッケージの存在に依存していることに注意してください。

検出

Linux Distros のパッチ未適用の脆弱性: CVE-2026-110306

medium Nessus プラグイン ID 367761

バージョン 1.1