Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - fast-uri は、Node.js 用の依存関係のない RFC 3986 URI パーサーおよびシリアライザーです。2.4.2 から 2.4.7、3.1.3 から 3.1.8、4.0.1 から 4.2.2 のバージョンでは、HTTPファミリースキームの場合、canonicalizeHost() 関数が解析されたホストを WHATWG URL パーサーに渡し、パーサーが入力全体をホストとして消費したことをチェックせずにそのホスト名を採用します。これにより、権限はサイレントに書き換えられます:アットマークがドロップされる前のデータとタブ、キャリッジリターン、 改行文字が削除され、エラーは報告されません。拒否リスト、ループバックフィルタリング、リダイレクト検証、送信プロキシルーティングなどのホストベースのポリシーを 1 つの表現に適用するアプリケーションは、標準的なホストがチェックした内容から逸脱しているのを見ることができます。これにより、トラフィックが意図しない宛先に誘導される可能性があります。
    この問題は fast-uri 2.4.8、 3.1.9、 4.2.3 で修正されており、ユーザーはこれらのバージョンのいずれか以降にアップグレードする必要があります。回避策として、fast-uri を呼び出す前に、複数のアットマーク、タブ、キャリッジリターン、または改行を含む権限を拒否するか、空でない解析エラーを致命的として扱い、同じ解析結果からのみホストを比較してください。(CVE-2026-110180)

Nessus は、ベンダーから報告されたパッケージの存在に依存していることに注意してください。

検出

Linux Distros のパッチ未適用の脆弱性: CVE-2026-110180

medium Nessus プラグイン ID 367762

バージョン 1.6