因此，该软件受到 ALAS2023-2026-3209 公告中提及的多个漏洞影响。

    Perl 之前 9.47 的 Mojo：：JSON 版本允许通过纯 Perl 解码器中的无限递归耗尽内存。

    纯 Perl 解码路径（“_decode_value”调度到“_decode_array”和“_decode_object”）递归没有深度限制，因此小型深度嵌套 JSON 文档可消耗过多内存。

    当未安装 Cpanel：：JSON：：XS 或设置“MOJO_NO_JSON_XS=1”时，此路径为默认路径;Cpanel：：JSON：：XS 快速路径不受影响。

    任何解码不受信任的 JSON 正文的调用程序（例如通过“$c->req->json”到达的“Mojo：：Message：：json”）可耗尽进程内存并造成拒绝服务。（CVE-2026-14803）

    之前的 Mojolicious Perl 版本4.599.48向 BREACH 压缩 oracle 公开会话 CSRF 标记的稳定表示。

    _csrf_token 为每个会话生成并缓存一个标记，并在每次调用时返回相同的值，并且
    _csrf_field会将该值放在隐藏的“csrf_token”输入中。当携带标记的响应也发回攻击者控制的输入并经过 gzip 压缩时，所选值和产生的压缩长度将形成 BREACH oracle。

    能够对其进行查询的攻击者可以恢复标记并通过csrf_protect验证。（CVE-2026-15747）

Tenable 已直接从测试产品的安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且廠商未提供可用的修補程式。

  - Mojo：：JSON 之前 9.47 的 Perl 版本允許透過純 Perl 解碼器中的無限遞迴耗盡記憶體。純Perl解碼路徑 （'_decode_value' 分派至 '_decode_array' 和 '_decode_object'） 遞迴，沒有深度限制，因此小型深度巢狀 JSON 文件可能會消耗過多記憶體。未安裝 Cpanel：：JSON：：XS 或設定「MOJO_NO_JSON_XS=1」時，此路徑為預設路徑;Cpanel：：JSON：：XS 快速路徑不受影響。任何解碼不受信任 JSON 內文的呼叫端 （例如透過「$c->req->json」連線的「Mojo：：Message：：json」，都可能耗盡處理程序記憶體並造成拒絕服務。（CVE-2026-14803）

請注意，Nessus 的判定取決於廠商所報告的套件是否存在。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - Perl 之前 9.47 的 Mojo：：JSON 版本允许通过纯 Perl 解码器中的无限递归耗尽内存。纯 Perl 解码路径（“_decode_value”调度到“_decode_array”和“_decode_object”）递归没有深度限制，因此小型深度嵌套 JSON 文档可消耗过多内存。当未安装 Cpanel：：JSON：：XS 或设置“MOJO_NO_JSON_XS=1”时，此路径为默认路径;Cpanel：：JSON：：XS 快速路径不受影响。任何解码不受信任的 JSON 正文的调用程序（例如通过“$c->req->json”到达的“Mojo：：Message：：json”）可耗尽进程内存并造成拒绝服务。（CVE-2026-14803）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

因此，它會受到 ALAS2023-2026-3209 公告中所提及的多個弱點影響。

    Perl 之前 9.47 的 Mojo：：JSON 版本允許透過純 Perl 解碼器中的無限遞迴耗盡記憶體。

    純Perl解碼路徑 （'_decode_value' 分派至 '_decode_array' 和 '_decode_object'） 遞迴，沒有深度限制，因此小型深度巢狀 JSON 文件可能會消耗過多記憶體。

    未安裝 Cpanel：：JSON：：XS 或設定「MOJO_NO_JSON_XS=1」時，此路徑為預設路徑;Cpanel：：JSON：：XS 快速路徑不受影響。

    任何解碼不受信任 JSON 內文的呼叫端 （例如透過「$c->req->json」連線的「Mojo：：Message：：json」，都可能耗盡處理程序記憶體並造成拒絕服務。（CVE-2026-14803）

    Perl 之前9.48的 4.59 Mojolicious 版本將會話 CSRF 令牌的穩定表示公開給 BREACH 壓縮預言機。

    _csrf_token 會為每個工作階段產生並快取一個權杖，並在每次呼叫時傳回相同的值，並且
    _csrf_field會將該值放在隱藏的「csrf_token」輸入中。當帶有令牌的回應也回應攻擊者控制的輸入並經過 gzip 壓縮時，所選值和產生的壓縮長度會形成 BREACH 預言機。

    能夠查詢它的攻擊者可以復原權杖並通過csrf_protect驗證。（CVE-2026-15747）

Tenable 已直接從所測試產品的安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - Mojo::JSON の 9.47 より前の Perl バージョンにより、pure-Perl デコーダーの無限再帰によるメモリ枯渇が発生する可能性があります。pure-Perl デコードパス(「_decode_array」および「_decode_object」への「_decode_value」ディスパッチ)は深さ制限なしで再帰するため、小さく深くネスト化された JSON ドキュメントが過剰なメモリを消費する可能性があります。このパスは、Cpanel::JSON::XS がインストールされていないか、「MOJO_NO_JSON_XS=1」が設定されている場合のデフォルトです。Cpanel::JSON::XS ファストパスは影響を受けません。信頼できない JSON 本文(たとえば、「Mojo::Message::json」など)をデコードする呼び出し元が「$c->req->json」を通じて到達し、プロセスメモリを使い果たし、サービス拒否を引き起こす可能性があります。(CVE-2026-14803)

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

したがって、ALAS2023-2026-3209 のアドバイザリに記載されている複数の脆弱性の影響を受けます。

    Mojo::JSON の 9.47 Perl より前のバージョンでは、pure-Perl デコーダーの無限再帰によるメモリ枯渇が発生する可能性があります。

    pure-Perl デコードパス(「_decode_array」および「_decode_object」への「_decode_value」ディスパッチ)は深さ制限なしで再帰するため、小さく深くネスト化された JSON ドキュメントが過剰なメモリを消費する可能性があります。

    このパスは、Cpanel::JSON::XS がインストールされていないか、「MOJO_NO_JSON_XS=1」が設定されている場合のデフォルトです。Cpanel::JSON::XS ファストパスは影響を受けません。

    信頼できない JSON 本文(たとえば、「Mojo::Message::json」など)をデコードする呼び出し元が「$c->req->json」を通じて到達し、プロセスメモリを使い果たし、サービス拒否を引き起こす可能性があります。(CVE-2026-14803)

    Perl 用の 9.48 より前の 4.59 からの Mojolicious バージョンが、セッション CSRF トークンの安定した表現を BREACH 圧縮オラクルにさらします。

    _csrf_token は、セッションごとに 1 つのトークンを生成してキャッシュし、すべての呼び出しで同じ値を返します。
    _csrf_field は、非表示の「csrf_token」入力にその値を配置します。トークンを運ぶ応答が攻撃者の制御する入力もエコーし、gzip 圧縮されている場合、選択された値と結果として生じる圧縮された長さが BREACH オラクルを形成します。

    これにクエリが可能な攻撃者が、トークンを復元し、csrf_protect検証に合格する可能性があります。(CVE-2026-15747)

Tenable は、前述の記述ブロックをテスト済み製品のセキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

The Linux/Unix host has one or more packages installed that are impacted by a vulnerability without a vendor supplied patch available.

  - Mojo::JSON versions before 9.47 for Perl allow memory exhaustion via unbounded recursion in the pure-Perl     decoder. The pure-Perl decode path (`_decode_value` dispatching to `_decode_array` and `_decode_object`)     recurses with no depth limit, so a small deeply nested JSON document can consume excessive memory. This     path is the default when Cpanel::JSON::XS is not installed or `MOJO_NO_JSON_XS=1` is set; the     Cpanel::JSON::XS fast path is not affected. Any caller that decodes an untrusted JSON body, for example     `Mojo::Message::json` reached through `$c->req->json`, can exhaust process memory and cause denial of     service. (CVE-2026-14803)

Note that Nessus relies on the presence of the package as reported by the vendor.

The Unity Linux 20 host has a package installed that is affected by a vulnerability as referenced in the UTSA-2026-099533 advisory.

    Mojo::JSON versions before 9.47 for Perl allow memory exhaustion via unbounded recursion in the pure-Perl     decoder.

    The pure-Perl decode path (`_decode_value` dispatching to `_decode_array` and `_decode_object`) recurses     with no depth limit, so a small deeply nested JSON document can consume excessive memory.

    This path is the default when Cpanel::JSON::XS is not installed or `MOJO_NO_JSON_XS=1` is set; the     Cpanel::JSON::XS fast path is not affected.

    Any caller that decodes an untrusted JSON body, for example `Mojo::Message::json` reached through     `$c->req->json`, can exhaust process memory and cause denial of service.

Tenable has extracted the preceding description block directly from the Unity Linux security advisory.

Note that Nessus has not tested for this issue but has instead relied only on the application's self-reported version number.

It is, therefore, affected by multiple vulnerabilities as referenced in the ALAS2023-2026-3209 advisory.

    Mojo::JSON versions before 9.47 for Perl allow memory exhaustion via unbounded recursion in the pure-Perl     decoder.

    The pure-Perl decode path (`_decode_value` dispatching to `_decode_array` and `_decode_object`) recurses     with no depth limit, so a small deeply nested JSON document can consume excessive memory.

    This path is the default when Cpanel::JSON::XS is not installed or `MOJO_NO_JSON_XS=1` is set; the     Cpanel::JSON::XS fast path is not affected.

    Any caller that decodes an untrusted JSON body, for example `Mojo::Message::json` reached through     `$c->req->json`, can exhaust process memory and cause denial of service. (CVE-2026-14803)

    Mojolicious versions from 4.59 before 9.48 for Perl expose a stable representation of the session CSRF     token to a BREACH compression oracle.

    _csrf_token generates and caches one token per session and returns the same value on every call, and
    _csrf_field places that value in a hidden `csrf_token` input. When a response carrying the token also     echoes attacker-controlled input and is gzip-compressed, the chosen values and the resulting compressed     lengths form a BREACH oracle.

    An attacker able to query it can recover the token and pass csrf_protect validation. (CVE-2026-15747)

Tenable has extracted the preceding description block directly from the tested product security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

ID	名前	製品	ファミリー	公開日	更新日	深刻度
365250	Amazon Linux 2023：perl-Mojolicious、perl-Test-Mojo （ALAS2023-2026-3209）	Nessus	Amazon Linux Local Security Checks	2026/10/12	2026/10/12	critical
325357	Linux Distros 未修補弱點：CVE-2026-14803	Nessus	Misc.	2026/7/7	2026/10/30	medium
325357	Linux Distros 未修补的漏洞：CVE-2026-14803	Nessus	Misc.	2026/7/7	2026/10/30	medium
365250	Amazon Linux 2023：perl-Mojolicious、perl-Test-Mojo （ALAS2023-2026-3209）	Nessus	Amazon Linux Local Security Checks	2026/10/12	2026/10/12	critical
325357	Linux Distros のパッチ未適用の脆弱性: CVE-2026-14803	Nessus	Misc.	2026/7/7	2026/10/30	medium
365250	2023 Amazon Linux:perl-Mojolicious、perl-Test-Mojo(ALAS2023-2026-3209)	Nessus	Amazon Linux Local Security Checks	2026/10/12	2026/10/12	critical
325357	Linux Distros Unpatched Vulnerability : CVE-2026-14803	Nessus	Misc.	2026/7/7	2026/10/30	medium
336871	Unity Linux 20.1070e Security Update: perl-Mojolicious (UTSA-2026-099533)	Nessus	Unity Linux Local Security Checks	2026/8/17	2026/8/17	medium
365250	Amazon Linux 2023 : perl-Mojolicious, perl-Test-Mojo (ALAS2023-2026-3209)	Nessus	Amazon Linux Local Security Checks	2026/10/12	2026/10/12	critical

検出

プラグインの検索

critical

medium

medium

critical

medium

critical

medium

medium

critical