There are packages installed that are affected by a vulnerability referenced in the following CVE:

  - Sanitize is an allowlist-based HTML and CSS sanitizer. Versions 5.0.0 and later, prior to 6.0.1, are
    vulnerable to Cross-site Scripting. When Sanitize is configured with a custom allowlist that allows
    `noscript` elements, attackers are able to include arbitrary HTML, resulting in XSS (cross-site scripting)
    or other undesired behavior when that HTML is rendered in a browser. The default configurations do not
    allow `noscript` elements and are not vulnerable. This issue only affects users who are using a custom
    config that adds `noscript` to the element allowlist. This issue has been patched in version 6.0.1. Users
    who are unable to upgrade can prevent this issue by using one of Sanitize's default configs or by ensuring
    that their custom config does not include `noscript` in the element allowlist. (CVE-2023-23627)

遠端 Ubuntu 20.04 LTS/22.04 LTS/23.10 主機上安裝的一個套件受到 USN-6748-1 公告中所提及的多個弱點影響。

  - Sanitize 是一種允許清單型 HTML 和 CSS 清理程式。5.0.0 及更新版本和 6.0.1 之前的版本容易遭受跨網站指令碼攻擊。若透過支援使用「noscript」元素的自訂允許清單設定清理，攻擊者可以納入任意 HTML，進而導致在瀏覽器中轉譯該 HTML 時發生 XSS (跨網站指令碼) 或其他非預期行為。預設設定不允許使用「noscript」元素，因此不受此弱點影響。此問題只會影響使用自訂設定將「noscript」新增至元素允許清單的使用者。此問題已在 6.0.1 版中修正。無法升級的使用者可以使用 Sanitize 的其中一項預設設定，或確保其自訂設定為元素允許清單中不包含「noscript」，以此避免此問題。(CVE-2023-23627)

  - Sanitize 是一種允許清單型 HTML 和 CSS 清理程式。使用特製的輸入，當 Sanitize 被設定為使用內建寬鬆組態或使用允許“style”元素及一個或多個 CSS at-rule 的自訂組態時，攻擊者或可透過 3.0.0 至 6.0.2 版之間的 Sanitize 來暗中檢視任意 HTML 和 CSS。若惡意 HTML 和 CSS 在瀏覽器中經過轉譯，這可導致發生跨網站指令碼或其他不需要的行為。Sanitize 6.0.2 對“style”元素內容執行額外的 CSS 逸出，從而修正此問題。無法升級的使用者可以使用不允許“style”元素的 Sanitize 組態、使用不允許 CSS at-rule 的 Sanitize 組態或是將“style”元素內容中的字元序列“</”手動逸出為“<\/”來防止出現此問題。(CVE-2023-36823)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

远程 Ubuntu 20.04 LTS / 22.04 LTS / 23.10 主机上安装的程序包受到 USN-6748-1 公告中提及的多个漏洞的影响。

  - Sanitize 是一种基于白名单的 HTML 和 CSS 审查器。 5.0.0 及之后的版本和 6.0.1 之前的版本可能容易受到跨站脚本的攻击。当通过允许 `noscript` 元素的自定义允许列表配置 Sanitize 时，攻击者能够包括任意 HTML，导致在浏览器中渲染该 HTML 时发生 XSS（跨站脚本）或其他意外行为。默认配置不允许 `noscript` 元素，因此不易受到攻击。此问题仅影响使用将 `noscript` 添加到元素允许列表的自定义配置的用户。已在版本 6.0.1 中修补此问题。无法升级的用户可使用 Sanitize 的默认配置之一，或通过确保其自定义配置的元素允许列表中不包含 `noscript`，来防止此问题。(CVE-2023-23627)

  - Sanitize 是一种基于白名单的 HTML 和 CSS 审查器。通过使用精心构建的输入，当 Sanitize 被配置为使用内置宽松配置或使用允许“style”元素及一个或多个 CSS at-rule 的自定义配置时，攻击者可能可以通过 3.0.0 至 6.0.2 版本之间的 Sanitize 来偷偷入侵任意 HTML 和 CSS。如果恶意 HTML 和 CSS 在浏览器中经过渲染，这可能会导致发生跨站脚本漏洞或其他意外行为。Sanitize 6.0.2 在“style”元素内容中执行额外的 CSS 转义，从而修复了此问题。无法升级的用户可以通过使用不允许“style”元素的 Sanitize 配置、使用不允许 CSS at-rule 的 Sanitize 配置或将“style”元素内容中的字符序列“</”手动转义为“<\/”来防止出现此问题。(CVE-2023-36823)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

リモートの Ubuntu 20.04LTS / 22.04LTS / 23.10ホストには、USN-6748-1のアドバイザリに記載されている複数の脆弱性の影響を受けるパッケージがインストールされています。

  - Sanitize は、許可リストベースの HTML および CSS サニタイザーです。バージョン 5.0.0 以降、6.0.1 より前のバージョンは、クロスサイトスクリプティングに対して脆弱です。「noscript」要素を許可するカスタム許可リストで Sanitize が構成されている場合、攻撃者は任意の HTML を組み込むことができ、その HTML がブラウザでレンダリングされるときに XSS (クロスサイトスクリプティング) またはその他の望ましくない動作が発生します。デフォルトの構成は「noscript」要素を許可しないため、脆弱ではありません。この問題の影響を受けるのは、要素許可リストに「noscript」を追加するカスタム構成を使用しているユーザーのみです。この問題には、バージョン 6.0.1 でパッチが適用されています。アップグレードできないユーザーは、Sanitize のデフォルト構成の 1 つを使用するか、カスタム構成の要素許可リストに「noscript」が含まれないようにすることで、この問題を回避できます。(CVE-2023-23627)

  - Sanitize は、許可リストベースの HTML および CSS サニタイザーです。Sanitize がビルトインの config を使用するように構成される場合、または「style」要素および 1 つ以上の CSS at-rules を許可するカスタム config を使用する場合、攻撃者は慎重に細工された入力を使用して、バージョン 3.0.0 以降およびバージョン 6.0.2 以前の Sanitize を通じて、任意の HTML および CSS を忍び込ませる可能性があります。これにより、悪意のある HTML および CSS がブラウザでレンダリングされたときに、クロスサイトスクリプティングまたはその他の望ましくない動作が発生する可能性があります。Sanitize 6.0.2は、「style」要素コンテンツで CSS の追加のエスケープを実行し、この問題を修正します。アップグレードできないユーザーは、「style」要素を許可しないサニタイズ構成を使用するか、CSS at-rules を許可しない Sanitize 構成を使用するか、「style」要素コンテンツで文字シーケンス「</」を「<\/」としてを手動でエスケープすることで、この問題を防止します。(CVE-2023-36823)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

The remote Ubuntu 20.04 LTS / 22.04 LTS / 23.10 host has a package installed that is affected by multiple vulnerabilities as referenced in the USN-6748-1 advisory.

    It was discovered that Sanitize incorrectly handled noscript elements under certain circumstances. An     attacker could possibly use this issue to execute a cross-site scripting (XSS) attack. This issue only     affected Ubuntu 22.04 LTS. (CVE-2023-23627)

    It was discovered that Sanitize incorrectly handled style elements under certain circumstances. An     attacker could possibly use this issue to execute a cross-site scripting (XSS) attack. (CVE-2023-36823)

Tenable has extracted the preceding description block directly from the Ubuntu security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

ID	名前	製品	ファミリー	公開日	更新日	深刻度
414721	SCA: security update for sanitize (GHSA-fw3g-2h3j-qmm7)	Tenable Cloud Security	SCA Checks	2025/1/23	2026/7/2	medium
414721	SCA: security update for sanitize (GHSA-fw3g-2h3j-qmm7)	Tenable Self-Hosted Container Security	SCA Checks	2025/1/23	2026/7/2	medium
193803	Ubuntu 20.04 LTS/22.04 LTS/23.10：Sanitize 弱點 (USN-6748-1)	Nessus	Ubuntu Local Security Checks	2024/4/24	2025/9/3	medium
193803	Ubuntu 20.04 LTS/22.04 LTS/23.10：Sanitize 漏洞 (USN-6748-1)	Nessus	Ubuntu Local Security Checks	2024/4/24	2025/9/3	medium
193803	Ubuntu 20.04 LTS / 22.04 LTS / 23.10 : Sanitize の脆弱性 (USN-6748-1)	Nessus	Ubuntu Local Security Checks	2024/4/24	2025/9/3	medium
193803	Ubuntu 20.04 LTS / 22.04 LTS / 23.10 : Sanitize vulnerabilities (USN-6748-1)	Nessus	Ubuntu Local Security Checks	2024/4/24	2025/9/3	medium

検出

プラグインの検索

medium

medium

medium

medium

medium

medium