リモートの openSUSE 16 ホストに、複数の脆弱性の影響を受けているパッケージがインストールされています。これらの脆弱性は openSUSE-SU-2026:20345-1 アドバイザリで言及されています。

    python-lxml_html_clean での変更: 

    - CVE-2026-28348不適切なキーワードチェックにより、外部 CSS がロードされる可能性がありますbsc#1259378
    - CVE-2026-28350ベースタグ処理がないため、相対 URL の解決がハイジャックされる可能性がありますbsc#1259379

Tenable は、前述の記述ブロックを SUSE セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートのDebian 12ホストには、DLA-4799アドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    ------------------------------------------------------------------------- Debian LTS アドバイザリ DLA-4799-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Guilhem Moulin 2026 年 9 月 28 日 https://wiki.debian.org/LTS-------------------------------------------------------------------------

    パッケージ:lxml バージョン:4.9.2-1+deb12u1 CVE ID: CVE-2026-28348 CVE-2026-28350 CVE-2026-41066 CVE-2026-49825

    libxml2 と libxslt ライブラリのための一連の python バインディングである lxml に複数の脆弱性が発見されました。これにより、情報漏洩または権限昇格が引き起こされる可能性があります。

    CVE-2026-28348

        CSS @importフィルターは、unicode エスケープを通じてバイパスされやすくなっています。

    CVE-2026-28350

        デフォルトの「Cleaner」構成は、 <base> タグインジェクションの影響を受けやすく、それによって攻撃者がページ上の関連リンクをハイジャックする可能性があります。

    CVE-2026-41066

        Qiu Sihao 氏は、iterparse() および ETCompatXMLParser() のデフォルト構成により、ローカルファイルへの XML 外部エンティティ攻撃が可能になり、情報漏洩につながる可能性があることを発見しました。

    CVE-2026-49825

        Guillem Lefait 氏は、Cleaner モジュールが名前空間付き URL 属性から「javascript:」URL をストリップできないことを発見しました(xlink:href)。

    Debian 12 bookworm では、これらの問題はバージョン 4.9.2-1+deb12u1 で修正されました。

    お使いの lxml パッケージをアップグレードすることを推奨します。

    lxmlの詳細なセキュリティステータスについては、そのセキュリティトラッカーページを参照してください：
    https://security-tracker.debian.org/tracker/lxml

    Debian LTS セキュリティアドバイザリに関する詳細、これらの更新をシステムに適用する方法、およびよくある質問については、こちらを参照してください。https://wiki.debian.org/LTSAttachment:signature.ascDescription: PGP 署名

Tenable は、前述の説明ブロックを Debian セキュリティアドバイザリから直接抽出しました。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートの Fedora 43 ホストには、FEDORA-2026-fdded962b2 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    python-lxml-html-clean のセキュリティ更新


Tenable は、前述の記述ブロックを Fedora セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートの Fedora 44 ホストには、FEDORA-2026-f46fc594f3 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    python-lxml-html-clean のセキュリティ更新


Tenable は、前述の記述ブロックを Fedora セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - lxml_html_clean は、「lxml.html.clean」からコピーされた HTML 消去機能用のプロジェクトです。バージョン 0.4.4より前では、_has_sneaky_javascript() メソッドが、危険な CSS キーワードをチェックする前にバックスラッシュを取り除きます。これにより、CSS Unicode エスケープシーケンスが @import およびexpression() のフィルターをバイパスするため、古いブラウザで外部 CSS のロードや XSS が可能になります。この問題には、バージョン 0.4.4 でパッチが適用されています。
    (CVE-2026-28348)

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

リモートの Fedora 42 ホストには、FEDORA-2026-154efc6066 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    python-lxml-html-clean のセキュリティ更新


Tenable は、前述の記述ブロックを Fedora セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
302092	openSUSE 16 セキュリティ更新 python-lxml_html_clean openSUSE-SU-2026:20345-1	Nessus	SuSE Local Security Checks	2026/3/13	2026/3/13	medium
350955	Debian DLA-4799:python-lxml-doc - セキュリティ更新	Nessus	Debian Local Security Checks	2026/9/29	2026/9/29	high
301913	Fedora 43python-lxml-html-clean2026-fdded962b2	Nessus	Fedora Local Security Checks	2026/3/12	2026/3/12	medium
301918	Fedora 44python-lxml-html-clean2026-f46fc594f3	Nessus	Fedora Local Security Checks	2026/3/12	2026/3/12	medium
301397	Linux Distros のパッチ未適用の脆弱性: CVE-2026-28348	Nessus	Misc.	2026/3/7	2026/9/29	medium
301914	Fedora 42python-lxml-html-clean2026-154efc6066	Nessus	Fedora Local Security Checks	2026/3/12	2026/3/12	medium

検出

プラグインの検索

medium

high

medium

medium

medium

medium