There are packages installed that are affected by a vulnerability referenced in the following CVE:

  - Preact, a lightweight web development framework, JSON serialization protection to prevent Virtual DOM
    elements from being constructed from arbitrary JSON. A regression introduced in Preact 10.26.5 caused this
    protection to be softened. In applications where values from JSON payloads are assumed to be strings and
    passed unmodified to Preact as children, a specially-crafted JSON payload could be constructed that would
    be incorrectly treated as a valid VNode. When this chain of failures occurs it can result in HTML
    injection, which can allow arbitrary script execution if not mitigated by CSP or other means. Applications
    using affected Preact versions are vulnerable if they meet all of the following conditions: first, pass
    unmodified, unsanitized values from user-modifiable data sources (APIs, databases, local storage, etc.)
    directly into the render tree; second assume these values are strings but the data source could return
    actual JavaScript objects instead of JSON strings; and third, the data source either fails to perform type
    sanitization AND blindly stores/returns raw objects interchangeably with strings, OR is compromised (e.g.,
    poisoned local storage, filesystem, or database). Versions 10.26.10, 10.27.3, and 10.28.2 patch the issue.
    The patch versions restore the previous strict equality checks that prevent JSON-parsed objects from being
    treated as valid VNodes. Other mitigations are available for those who cannot immediately upgrade.
    Validate input types, cast or validate network data, sanitize external data, and use Content Security
    Policy (CSP). (CVE-2026-22028)

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且供應商未提供可用的修補程式。

  - 輕量型 Web 開發架構 Preact、JSON 序列化保護可防止從任意 JSON 建構虛擬 DOM 元素。Preact 10.26.5 中引入的回歸造成此保護軟化。在將來自 JSON 承載的值假設為字串且在未修改的情況下做為子項傳遞至 Preact 的應用程式中可建構的特製 JSON 承載會被錯誤地視為有效的 VNode。發生此失敗鏈時可導致 HTML 插入如果不採用 CSP 或其他方式緩解則可允許任意指令碼執行。使用受影響 Preact 版本的應用程式若符合下列所有條件便容易遭受攻擊。第二個假設這些值為字串但資料來源可傳回實際的 JavaScript 物件而非 JSON 字串第三資料來源或是無法執行類型清理並且盲目地儲存/傳回原始物件與字串或是遭到入侵 (例如感染的本機儲存空間、檔案系統或資料庫)。 10.26.10、 10.27.3和 10.28.2 版修補該問題。
    這些修補程式版本可還原先前的嚴格相等檢查該檢查可防止將 JSON 剖析的物件視為有效的 VNode。無法立即升級的使用者可使用其他緩解方法。
    驗證輸入類型、轉換或驗證網路資料、清理外部資料以及使用內容安全性原則 (CSP)。 (CVE-2026-22028)

請注意，Nessus 的判定取決於廠商所報告的套件是否存在。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - Preact轻量级 Web 开发框架的 JSON 序列化保护可防止从任意 JSON 构造虚拟 DOM 元素。Preact 10.26.5 中引入的一个回归导致此保护被软化。如果应用程序中来自 JSON 负载的值被假设为字符串并在未经修改的情况下作为子项传递到 Preact则可构建特制的 JSON 负载其会被错误地视为有效 VNode。发生这一系列故障时可导致 HTML 注入如果不通过 CSP 或其他方式缓解则可允许任意脚本执行。使用受影响 Preact 版本的应用程序在满足以下所有条件时容易遭受攻击第二个假设这些值为字符串但数据源可返回实际的 JavaScript 对象而不是 JSON 字符串第三，数据源要么无法执行类型审查，要么盲目存储/返回与字符串交互的原始对象，要么受到破坏（例如中毒的本地存储、文件系统或数据库）。版本 10.26.10、 10.27.3和 10.28.2 修补了此问题。
    修补程序版本恢复了之前阻止 JSON 解析的对象被视为有效 VNode 的严格相等检查。无法立即升级的用户可使用其他缓解措施。
    验证输入类型、转换或验证网络数据、审查外部数据并使用内容安全策略 (CSP)。 (CVE-2026-22028)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - 軽量 Web 開発フレームワークである Preact は、Virtual DOM 要素が任意の JSON から構築されるのを防ぐための JSON シリアル化保護です。Preact 10.26.5 で導入された回帰により、この保護が弱体化されました。JSON ペイロードからの値が文字列であると仮定され、変更されずに Preact に子として渡されるアプリケーションでは、特別に細工された JSON ペイロードが構築され、有効な VNode として誤って扱われる可能性があります。この一連の失敗が発生すると、HTML インジェクションが発生する可能性があり、CSP やその他の手段で緩和しない場合は、任意のスクリプトを実行される可能性があります。影響を受けるPreactバージョンを使用しているアプリケーションは、次のすべての条件を満たす場合に脆弱です。まず、ユーザーが変更可能なデータソースAPI、データベース、ローカルストレージなどから、変更されていないサニタイズされていない値をレンダーツリーに直接渡します。では、これらの値が文字列であると仮定しますが、データソースは JSON 文字列の代わりに実際の JavaScript オブジェクトを返す可能性があります。および第 3 に、データソースが型サニタイズの実行に失敗し、かつ生のオブジェクトを文字列と互換的に格納/返し、または危険にさらされている場合 (例: ポイズニングされたローカルストレージ、ファイルシステム、またはデータベース)。バージョン 10.26.10、 10.27.3、 10.28.2 では、この問題のパッチが適用されます。
    パッチバージョン は、JSON 解析されたオブジェクトが有効な VNode として扱われないように、以前の厳格な等価性チェックを復元します。すぐにアップグレードできないユーザーは、他の緩和策を利用できます。
    入力タイプを検証し、ネットワークデータをキャストまたは検証し、外部データをサニタイズし、コンテンツセキュリティポリシー (CSP) を使用します。CVE-2026-22028

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

The Linux/Unix host has one or more packages installed that are impacted by a vulnerability without a vendor supplied patch available.

  - Preact, a lightweight web development framework, JSON serialization protection to prevent Virtual DOM     elements from being constructed from arbitrary JSON. A regression introduced in Preact 10.26.5 caused this     protection to be softened. In applications where values from JSON payloads are assumed to be strings and     passed unmodified to Preact as children, a specially-crafted JSON payload could be constructed that would     be incorrectly treated as a valid VNode. When this chain of failures occurs it can result in HTML     injection, which can allow arbitrary script execution if not mitigated by CSP or other means. Applications     using affected Preact versions are vulnerable if they meet all of the following conditions: first, pass     unmodified, unsanitized values from user-modifiable data sources (APIs, databases, local storage, etc.)     directly into the render tree; second assume these values are strings but the data source could return     actual JavaScript objects instead of JSON strings; and third, the data source either fails to perform type     sanitization AND blindly stores/returns raw objects interchangeably with strings, OR is compromised (e.g.,     poisoned local storage, filesystem, or database). Versions 10.26.10, 10.27.3, and 10.28.2 patch the issue.
    The patch versions restore the previous strict equality checks that prevent JSON-parsed objects from being     treated as valid VNodes. Other mitigations are available for those who cannot immediately upgrade.
    Validate input types, cast or validate network data, sanitize external data, and use Content Security     Policy (CSP). (CVE-2026-22028)

Note that Nessus relies on the presence of the package as reported by the vendor.

ID	名前	製品	ファミリー	公開日	更新日	深刻度
436603	SCA: security update for preact (GHSA-36hm-qxxp-pg3m)	Tenable Self-Hosted Container Security	SCA Checks	2026/1/7	2026/8/12	critical
436603	SCA: security update for preact (GHSA-36hm-qxxp-pg3m)	Tenable Cloud Security	SCA Checks	2026/1/7	2026/8/12	critical
282480	Linux Distros 未修補的弱點：CVE-2026-22028	Nessus	Misc.	2026/1/8	2026/7/20	critical
282480	Linux Distros 未修补的漏洞：CVE-2026-22028	Nessus	Misc.	2026/1/8	2026/7/20	critical
282480	Linux Distros のパッチ未適用の脆弱性: CVE-2026-22028	Nessus	Misc.	2026/1/8	2026/7/20	critical
282480	Linux Distros Unpatched Vulnerability : CVE-2026-22028	Nessus	Misc.	2026/1/8	2026/7/20	critical

検出

プラグインの検索

critical

critical

critical

critical

critical

critical