自己報告されたバージョン番号によると、リモートホストで実行されている Atlassian Confluence アプリケーションは 9.2.23 より前、または 10.2.15 より前の 9.3.x です。このため、バンドルされたサードパーティ依存関係の欠陥を含む複数の脆弱性の影響を受けます:

- バンドルされた minimist の依存関係におけるインジェクションの脆弱性。(CVE-2021-44906)

- バンドルされた Bouncy Castle 依存関係のセキュリティ構成ミスの脆弱性。(CVE-2025-14813)

- バンドルされた node-tar 依存関係における複数のサービス拒否の脆弱性。(CVE-2026-59873、 CVE-2026-59874、 CVE-2026-59871)

- バンドルされた Apache Tomcat 依存関係の中間者の脆弱性。(CVE-2026-53434)

- バンドルされた linkify-it 依存関係における複数のサービス拒否の脆弱性。(CVE-2026-48801、 CVE-2026-59887)

- バンドルされた Hibernate ORM 依存関係における SQL 注入の脆弱性。(CVE-2026-0603)

- バンドルされた node-tar 依存関係のファイルインクルージョンの脆弱性。(CVE-2026-29786)

- バンドルされた PostgreSQL JDBC ドライバーの依存関係における中間者の脆弱性。(CVE-2026-54291)

- バンドルされたアンダースコアの依存関係におけるサービス拒否の脆弱性。(CVE-2026-27601)

- バンドルされた PostgreSQL JDBC ドライバーの依存関係におけるサービス拒否の脆弱性。(CVE-2026-42198)

- バンドルされた postcss 依存関係の情報漏洩の脆弱性。(CVE-2026-45623)

- バンドルされた Micrometer 依存関係でのサービス拒否脆弱性。(CVE-2026-40983)

- バンドルされた axios の依存関係におけるサービス拒否の脆弱性。(CVE-2026-25639)

スキャナーはこれらの問題のテストを行っておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

自己報告されたバージョン番号によると、リモートホストで実行されている Atlassian Crowd アプリケーションは、 7.2.2 より前のものです。このため、バンドルされたサードパーティ依存関係の欠陥を含む複数の脆弱性の影響を受けます:

- Atlassian Crowd における認証およびセッション管理の破損の脆弱性。(CVE-2026-21582)

- バンドルされた Netty 依存関係における複数のサービス拒否の脆弱性。(CVE-2026-56745、 CVE-2026-59901、 CVE-2026-45416、 CVE-2026-55831、 CVE-2026-55833、 CVE-2026-48043、 CVE-2026-56819)

- バンドルされた axios 依存関係における複数のインジェクションの脆弱性。(CVE-2026-44494、 CVE-2026-42041、 CVE-2026-44490、 CVE-2026-42035、 CVE-2026-42033)

- バンドルされた axios の依存関係におけるサーバー側のリクエスト偽造(SSRF)の脆弱性。(CVE-2026-44492)

- バンドルされた axios 依存関係における複数の情報漏洩の脆弱性。(CVE-2026-67320、 CVE-2026-44487、 CVE-2026-44486)

- バンドルされた Hibernate ORM 依存関係における SQL 注入の脆弱性。(CVE-2026-0603)

- バンドルされた PostgreSQL JDBC ドライバーの依存関係における中間者の脆弱性。(CVE-2026-54291)

- バンドルされたアンダースコアの依存関係におけるサービス拒否の脆弱性。(CVE-2026-27601)

- バンドルされたjackson-databind依存関係における安全でない逆シリアル化の脆弱性。(CVE-2026-54513、 CVE-2026-54512)

- バンドルされた Netty 依存関係の不適切な承認の脆弱性。(CVE-2026-44249)

- バンドルされたSpring Securityの依存関係に壊れた認証およびセッション管理の脆弱性があります。(CVE-2026-47838)

- バンドルされた Apache Tomcat の依存関係でのサービス拒否の脆弱性。(CVE-2026-41284)

- バンドルされた Spring Framework の依存関係における複数のサービス拒否の脆弱性。(CVE-2026-41842、 CVE-2026-41851、 CVE-2026-41850)

- バンドルされた Netty 依存関係の中間者の脆弱性。(CVE-2026-50010)

- バンドルされた axios 依存関係における複数のサービス拒否の脆弱性。(CVE-2026-44496、 CVE-2026-44488)

- バンドルされた Micrometer 依存関係における複数のサービス拒否の脆弱性。(CVE-2026-40983、 CVE-2026-40984)

- バンドルされた postcss 依存関係の情報漏洩の脆弱性。(CVE-2026-45623)

- バンドルされた Apache Tomcat 依存関係におけるビジネスロジックの脆弱性。(CVE-2026-43513)

- バンドルされた js-cookie の依存関係におけるインジェクションの脆弱性。(CVE-2026-46625)

- バンドルされたSpring Frameworkの依存関係におけるクロスサイトスクリプティング(XSS)の脆弱性。(CVE-2026-41845)

- バンドルされた axios の依存関係におけるリモートコードの実行の脆弱性。(CVE-2026-44495)

スキャナーはこれらの問題のテストを行っておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

リモート Redhat Enterprise Linux 10 ホストに、RHSA-2026:57590 アドバイザリに記載されている複数の脆弱性の影響を受けるパッケージがインストールされています。

    Podman DesktopのRed Hatビルドは、Podmanを使用してコンテナを管理するグラフィカルツールです。これにより、ユーザーはデスクトップ GUI を使用してコンテナとコンテナイメージを実行、管理、および構成できます。

    セキュリティ修正:

    * github.com/go-jose/go-jose/v3: github.com/go-jose/go-jose/v4: Go JOSE: 細工された JSON Web Encryption (JWE) オブジェクトによるサービス拒否 (CVE-2026-34986)

    * ip-address: ip-address: 信頼できない入力の不適切な HTML エスケープによるクロスサイトスクリプティング (CVE-2026-42338)

    * protobufjs:protobufjs:細工された JSON 記述子によるサービス拒否(CVE-2026-45740)

    * ws:ws: 「TypedArray」を伴う「websocket.close()」による初期化されていないメモリの漏洩(CVE-2026-45736)

    * devalue: devalue: スパース配列の逆シリアル化による過剰なメモリ消費(CVE-2026-42570)

    * tmp:サニタイズされていないプレフィックス/ポストフィックスによるパストラバーサルにより、ディレクトリエスケープが可能になります(CVE-2026-44705)

    * form-data: form-data: CRLF インジェクションによるフォームフィールドオーバーライド(CVE-2026-12143)

    * webpack-dev-server: webpack-dev-server: 不適切なプロキシ構成による情報漏洩とサービス拒否(CVE-2026-9595)

    * ws:ws:小さな WebSocket フラグメントからのメモリ枯渇によるサービス拒否(CVE-2026-48779)

    * extract-zip:github.com/maxogden/extract-zip:extract-zip:シンボリックリンク検証バイパスによる任意のファイル書き込みと情報漏洩(CVE-2026-56876)

    * fast-uri: fast-uri:不適切な Unicode ホスト名正規化によるセキュリティポリシーバイパス(CVE-2026-13676)

    * brace-expansion: brace-expansion:指数関数的な時間の複雑さによるサービス拒否(CVE-2026-13149)

    * tar:Node-tar:無効な形式の tar アーカイブヘッダーによるサービス拒否(CVE-2026-59874)

    * tar:node-tar:細工された gzip 爆弾によるサービス拒否(CVE-2026-59873)

    * js-yaml: js-yaml:細工された YAML ドキュメントによるサービス拒否(CVE-2026-59869)

    * protobufjs: protobufjs:細工された .proto スキーマによるサービス拒否(CVE-2026-59877)

    * grpc-js:@grpc/grpc-js:無効な形式の HTTP/2 ストリームの開始によるサーバーのクラッシュ(CVE-2026-48068)

    * linkify-it: linkify-it:アルゴリズム複雑性の脆弱性によるサービス拒否(CVE-2026-48801)

    * dompurify:DOMPurify:コード実行を可能にするクロスサイトスクリプティングの脆弱性(CVE-2026-49978)

    * brace-expansion:brace-expansion:expand() 関数でのメモリ枯渇によるサービス拒否(CVE-2026-14257)

    * postcss:PostCSS:細工された CSS 入力からの情報漏洩とサービス拒否(CVE-2026-45623)

    * postcss:PostCSS:細工された sourceMappingURL による情報漏洩(CVE-2026-69153)

    * brace-expansion:制限のない中間配列を介したDoS、 CVE-2026-14257 緩和策のバイパス(CVE-2026-69152)

    * ip-address: ip-address:一貫性のないIPアドレス解析により、サーバーサイドリクエストフォージェリ(SSRF)と信頼境界バイパス(CVE-2026-69192)が発生

    バグ修正と拡張機能:

    * RH Podman Desktop 1.1.2 をRHEL 10.2 Extensionsにリリース(JIRA:RHEL-238929)

    影響、CVSS スコア、謝辞、その他の関連情報を含むセキュリティ問題の詳細については、「参照」セクションに記載されている CVE のページを参照してください。

Tenable は、前述の記述ブロックを Red Hat Enterprise Linux セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートの Redhat Enterprise Linux 9 ホストに、RHSA-2026:74503 アドバイザリに記載されている複数の脆弱性の影響を受けるパッケージがインストールされています。

    Red Hat Satellite はシステム管理ソリューションです。これを使用することで組織は、組織のサーバーやその他クライアントシステムにパブリックインターネットアクセスを提供することなく、システムの設定や維持を行うことができるようになります。また、このソリューションは、事前に定義された標準のオペレーティング環境のプロビジョニングや設定管理も行います。

    セキュリティ修正:

    * rubygem-foreman_remote_execution:effective_user パラメーターを介したジョブ呼び出しのコマンドインジェクション(CVE-2026-12405)
    * foreman:プロビジョニングトークン検証の欠陥による認証されていない情報漏えい(CVE-2026-12423)
    * foreman:request_id パラメーターを介した foreman-rake errors:fetch_log でのコマンドインジェクション(CVE-2026-12540)
    * foreman:Foreman-rake データベースタスクでのコマンドインジェクション(CVE-2026-12541)
    * foreman:foreman-tail でのコマンドインジェクション(CVE-2026-12542)
    * foreman:foreman-rake 構成の SSTI および安全でない逆シリアル化(CVE-2026-12544)
    * rubygem-hammer_cli:安全でないエディター呼び出しからのコマンドインジェクション(CVE-2026-12545)
    * python3.12-dynaconf:Dynaconf:サーバーサイドテンプレートインジェクションによる任意のコードの実行(CVE-2026-33154)
    * yggdrasil-worker-forwarder:Go encoding/asn1:Unmarshal の過剰な再帰によるサービス拒否(CVE-2026-33818)
    * yggdrasil-worker-forwarder:Golang MIME:悪意を持って細工された MIME ヘッダーによるサービス拒否(CVE-2026-42504)
    * nodejs-sanitize-html:PostCSS:細工された CSS 入力からの情報漏洩とサービス拒否(CVE-2026-45623)
    * python-sqlparse:sqlparse:SQL 解析における二次 CPU 消費によるサービス拒否(CVE-2026-54284)
    * python3.12-sqlparse:sqlparse:SQL 解析における二次 CPU 消費によるサービス拒否(CVE-2026-54284)
    * rubygem-katello:ラベルによる Registry Proxy における SQL インジェクション(CVE-2026-56097)
    * rubygem-katello:不適切な承認ロジックにより、リソース列挙が可能になります(CVE-2026-56098)
    * yggdrasil-worker-forwarder:html/template へ移動:異常な入力によるクロスサイトスクリプティング(CVE-2026-56858)
    * yggdrasil-worker-forwarder:golang net/url:パス解決の二次複雑度によるサービス拒否(CVE-2026-56860)
    * yggdrasil-worker-forwarder:Golang crypto/tls:無限の KeyUpdate メッセージによるサービス拒否(CVE-2026-56862)
    * nodejs-connected-react-router:Immutable.js:リスト操作で大きなインデックス値の不適切な処理によるサービス拒否(CVE-2026-59879)
    * nodejs-sass:Immutable.js:リスト操作で大きなインデックス値の不適切な処理によるサービス拒否(CVE-2026-59879)
    * python-sqlparse: sqlparse:非効率的な SQL 解析によるサービス拒否(CVE-2026-59893)
    * python3.12-sqlparse:sqlparse:非効率的な SQL 解析によるサービス拒否(CVE-2026-59893)
    * python-sqlparse:sqlparse:コメントグループ化での 2 次 CPU 消費によるサービス拒否(CVE-2026-71491)
    * python3.12-sqlparse:sqlparse:コメントグループ化での 2 次 CPU 消費によるサービス拒否(CVE-2026-71491)
    * nodejs-css-loader:nanoid:整数オーバーフローによる予測可能な ID 生成(CVE-2026-73086)
    * nodejs-sanitize-html:nanoid:整数オーバーフローによる予測可能な ID 生成(CVE-2026-73086)
    * nodejs-compression-webpack-plugin:fast-uri:繰り返されるホスト名パーセントデコーディングを介したサーバー側のリクエスト偽造(CVE-2026-75899)
    * nodejs-mini-css-extract-plugin:fast-uri:繰り返されるホスト名パーセントデコーディングを介するサーバー側のリクエスト偽造(CVE-2026-75899)
    * nodejs-webpack:fast-uri:繰り返されるホスト名パーセントデコーディングを介したサーバー側のリクエスト偽造(CVE-2026-75899)
    * nodejs-compression-webpack-plugin:fast-uri:スキップされた IDN 正規化によるホストの混乱(CVE-2026-75931)
    * nodejs-mini-css-extract-plugin:fast-uri:スキップされた IDN 正規化によるホストの混乱(CVE-2026-75931)
    * nodejs-webpack:fast-uri:スキップされた IDN 正規化によるホストの混乱(CVE-2026-75931)
    * nodejs-compression-webpack-plugin:fast-uri:無効な形式の IPv6 正規化を通じたサーバー側のリクエスト偽造(CVE-2026-75975)
    * nodejs-mini-css-extract-plugin:fast-uri:無効な形式の IPv6 正規化を介するサーバー側のリクエスト偽造(CVE-2026-75975)
    * nodejs-webpack:fast-uri:無効な形式の IPv6 正規化を介するサーバー側のリクエスト偽造(CVE-2026-75975)
    * python3.12-gitpython:GitPython:TagReference.create() を通じた任意のファイルの読み取り(CVE-2026-78679)
    * rubygem-katello:Katello Content View History API の組織を越えた認証バイパス(CVE-2026-79654)
    * nodejs-compression-webpack-plugin:fast-uri:未検証のポートシリアル化による権限インジェクション(CVE-2026-84292)
    * nodejs-mini-css-extract-plugin:fast-uri:未検証のポートシリアル化を通じた権限注入(CVE-2026-84292)
    * nodejs-webpack:fast-uri:未検証のポートシリアル化を通じた権限インジェクション(CVE-2026-84292)
    * nodejs-compression-webpack-plugin:fast-uri:バランスの崩れた URI 括弧を通じたホストの混乱により、セキュリティポリシーをバイパスできる可能性があります(CVE-2026-84394)
    * nodejs-mini-css-extract-plugin:fast-uri:バランスの崩れた URI 括弧によるホストの混乱により、セキュリティポリシーがバイパスされる可能性があります(CVE-2026-84394)
    * nodejs-webpack:fast-uri:バランスの崩れた URI 括弧によるホストの混乱により、セキュリティポリシーをバイパスできます(CVE-2026-84394)
    * python3.12-gitpython:GitPython:Git ディレクトリのなりすましによるリモートコードの実行(CVE-2026-87817)
    * foreman:RCE につながるセーフモードバイパス(CVE-2026-96658)
    * foreman:プレビューの閲覧者ロールに対する過剰な権限(CVE-2026-96659)

Tenable は、前述の記述ブロックを Red Hat Enterprise Linux セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - PostCSS は CSS ファイルを取得し、ルールを抽象構文ツリーに変換することでルールを分析および変更するための API を提供します。8.5.11 以前のバージョンでは、PreviousMap は process() に渡された任意の CSS 文字列から /*# sourceMappingURL=PATH */ コメントを解析し、スキーマ、許可リスト、またはトラバーサルチェックなしでローカルファイルシステムに対して PATH をデリファレンスします。CSS 入力を制御できる攻撃者が、ホストプロセスに Node で読み取り可能なファイルを読み取らせ、結果として生じる JSON.parse SyntaxError メッセージを通じて、そのコンテンツの最初の ~10 バイトを漏洩させる可能性があります。この不具合は、正確なファイル存在確認オラクルと制御可能な読み取りプリミティブももたらし、大容量ファイルを標的とした DoS と組み合わせられる可能性があります。この動作は、PostCSS のデフォルトオプション「no from」、「no map」、「no plugins」でトリガーされるため、PostCSS を通じて信頼できない CSS を実行するパイプラインから到達可能です (CMS テーマ、ユーザーがアップロードしたスタイル、ブラウザ拡張/ユーザースタイルプロセッサ、サードパーティパッケージ用のビルドパイプライン、ブログコメントレンダラーなど)。この問題はバージョン 8.5.12で修正されています。(CVE-2026-45623)

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
115691	Atlassian Confluence < 9.2.23 の複数の脆弱性	Web App Scanning	Component Vulnerability	2026/10/16	2026/10/16	critical
115692	Atlassian Confluence 9.3.x < 10.2.15 の複数の脆弱性	Web App Scanning	Component Vulnerability	2026/10/16	2026/10/16	critical
115706	Atlassian Crowd < 7.2.2 複数の脆弱性	Web App Scanning	Component Vulnerability	2026/10/16	2026/10/16	high
338414	RHEL 10:rh-podman-desktop(RHSA-2026:57590)	Nessus	Red Hat Local Security Checks	2026/8/20	2026/8/20	critical
362390	RHEL 9:Satellite 6.19.5 Async更新プログラム(重要度最高)(RHSA-2026:74503)	Nessus	Red Hat Local Security Checks	2026/10/1	2026/10/8	high
330382	Linux Distros のパッチ未適用の脆弱性: CVE-2026-45623	Nessus	Misc.	2026/7/28	2026/11/12	critical

検出

プラグインの検索

critical

critical

high

critical

high

critical