There are packages installed that are affected by a vulnerability referenced in the following CVE:

  - joserfc is a Python library that provides an implementation of several JSON Object Signing and Encryption
    (JOSE) standards. Prior to 1.7.5, joserfc.jwe.decrypt_json() accepts a JWE General JSON Serialization
    recipients array without a count limit and calls decrypt_cek() for every entry. An unauthenticated
    attacker who can submit a JWE to an endpoint using an RSA key-management algorithm can choose the number
    of private-key decryption operations performed by one request. The verify_all_recipients option does not
    reduce this work because the affected loop processes every recipient before consulting that setting,
    allowing repeated requests to exhaust service CPU without affecting confidentiality or integrity. This
    issue is fixed in version 1.7.5. (CVE-2026-119283)

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - joserfc 是一个 Python 库，可提供多种 JSON 对象签名和加密 (JOSE) 标准的实现。在低于 1.7.5的 中，joserfc.jwe.decrypt_json（） 接受没有计数限制的 JWE General JSON 序列化收件人数组，并为每个条目调用 decrypt_cek（）。如果未经认证的攻击者可以使用 RSA 密钥管理算法将 JWE 提交到端点，则可以选择单个请求执行的私钥解密操作的数量。verify_all_recipients选项不会减少这项工作，因为受影响的循环会在查阅该设置之前处理每个收件人，允许重复请求耗尽服务 CPU，而不会影响机密性或完整性。此问题已在 1.7.5 版本中修复。(CVE-2026-119283)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且供應商未提供可用的修補程式。

  - joserfc 是一個 Python 程式庫，可提供數個 JSON 物件簽署和加密 (JOSE) 標準的實作。在之前 1.7.5，joserfc.jwe.decrypt_json（） 接受沒有計數限制的 JWE 一般 JSON 序列化收件者陣列，並針對每個項目呼叫 decrypt_cek（）。未經身份驗證的攻擊者可以使用 RSA 金鑰管理演算法將 JWE 提交到端點，可以選擇一個請求執行的私密金鑰解密操作的數量。verify_all_recipients 選項不會減少這項工作，因為受影響的迴圈會在查閱該設定之前處理每個收件者，允許重複要求耗盡服務 CPU，而不會影響機密性或完整性。1.7.5 版已修正此問題。(CVE-2026-119283)

請注意，Nessus 的判定取決於廠商所報告的套件是否存在。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - joserfc は、いくつかの JSON Object Signing and Encryption (JOSE) 標準の実装を提供する Python ライブラリです。1.7.5より前では、joserfc.jwe.decrypt_json()はJWE汎用JSONシリアル化の受信者配列をカウント制限なしで受け入れ、すべてのエントリに対してdecrypt_cek()を呼び出します。RSA キー管理アルゴリズムを使用して JWE をエンドポイントに送信できる認証されていない攻撃者は、一度のリクエストで実行する秘密鍵の復号化操作の数を選択できます。影響を受けるループがその設定を参照する前にすべての受信者を処理し、機密性や整合性に影響を与えることなく繰り返されるリクエストによってサービスCPUを枯渇させることができるため、verify_all_recipientsオプションではこの作業は軽減されません。この問題はバージョン 1.7.5 で修正されています。(CVE-2026-119283)

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

The remote openSUSE 16 host has a package installed that is affected by multiple vulnerabilities as referenced in the openSUSE-SU-2026:22283-1 advisory.

    Changes in python-joserfc:

    - CVE-2026-119283: Limit the maximum number of recipients in JWE General       JSON Serialization to prevent CPU exhaustion. (bsc#1288948)
    - CVE-2026-119824: Reject recognized DER, PEM, and SSH asymmetric public       keys when importing oct keys. (bsc#1288947)

Tenable has extracted the preceding description block directly from the SUSE security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

The Linux/Unix host has one or more packages installed that are impacted by a vulnerability without a vendor supplied patch available.

  - joserfc is a Python library that provides an implementation of several JSON Object Signing and Encryption     (JOSE) standards. Prior to 1.7.5, joserfc.jwe.decrypt_json() accepts a JWE General JSON Serialization     recipients array without a count limit and calls decrypt_cek() for every entry. An unauthenticated     attacker who can submit a JWE to an endpoint using an RSA key-management algorithm can choose the number     of private-key decryption operations performed by one request. The verify_all_recipients option does not     reduce this work because the affected loop processes every recipient before consulting that setting,     allowing repeated requests to exhaust service CPU without affecting confidentiality or integrity. This     issue is fixed in version 1.7.5. (CVE-2026-119283)

Note that Nessus relies on the presence of the package as reported by the vendor.

ID	名前	製品	ファミリー	公開日	更新日	深刻度
478031	SCA: security update for joserfc (GHSA-jpxq-7h8p-2q76)	Tenable Cloud Security	SCA Checks	2026/10/30	2026/10/30	high
478178	Chainguard: multiple open-webui packages: security update to 0.12.3-r16	Tenable Cloud Security	Chainguard Local Security Checks	2026/11/2	2026/11/2	high
478031	SCA: security update for joserfc (GHSA-jpxq-7h8p-2q76)	Tenable Self-Hosted Container Security	SCA Checks	2026/10/30	2026/10/30	high
478178	Chainguard: multiple open-webui packages: security update to 0.12.3-r16	Tenable Self-Hosted Container Security	Chainguard Local Security Checks	2026/11/2	2026/11/2	high
374251	Linux Distros 未修补的漏洞：CVE-2026-119283	Nessus	Misc.	2026/10/30	2026/11/2	high
374251	Linux Distros 未修補弱點：CVE-2026-119283	Nessus	Misc.	2026/10/30	2026/11/2	high
374251	Linux Distros のパッチ未適用の脆弱性: CVE-2026-119283	Nessus	Misc.	2026/10/30	2026/11/2	high
381205	openSUSE 16 Security Update : python-joserfc (openSUSE-SU-2026:22283-1)	Nessus	SuSE Local Security Checks	2026/11/14	2026/11/14	high
374251	Linux Distros Unpatched Vulnerability : CVE-2026-119283	Nessus	Misc.	2026/10/30	2026/11/2	high

検出

プラグインの検索

high

high

high

high

high

high

high

high

high