There are packages installed that are affected by a vulnerability referenced in the following CVE:

  - Loofah is a general library for manipulating and transforming HTML/XML documents and fragments, built on
    top of Nokogiri. From 2.25.0 until 2.25.2, Loofah::HTML5::Scrub.allowed_uri? does not reject javascript:
    URIs whose scheme is split or prefixed with the HTML5 named whitespace character references &Tab; or
    &NewLine;. CGI.unescapeHTML leaves those references intact, so allowed_uri? reports the URL safe even
    though a browser decodes and strips the tab or line feed and executes the resulting javascript: URL. This
    issue affects only callers that pass HTML-encoded strings directly to allowed_uri?; Loofah's default
    sanitize() path is not affected. This issue is fixed in version 2.25.2. (CVE-2026-73491)

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - Loofah 是用于操纵和转换 HTML/XML 文档和片段的通用库，以 Nokogiri 为基础而构建。From 2.25.0 until 2.25.2， Loofah：：HTML5：：Scrub.allowed_uri？ 不拒绝 javascript：
    方案拆分或前缀为 HTML5 命名空白字符引用的 URI 	 或 。CGI.unescapeHTML 保持这些引用不变，那么allowed_uri？即使浏览器解码并剥离标签或换行符并执行生成的 javascript： URL，也会报告 URL 安全。此问题仅影响将 HTML 编码字符串直接传递到 allowed_uri？;Loofah 的默认 sanitize（） 路径不受影响。此问题已在 2.25.2 版本中修复。(CVE-2026-73491)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且廠商未提供可用的修補程式。

  - Loofah 是建立在 Nokogiri 之上，用於操控及轉換 HTML/XML 文件和片段的一般程式庫。from 2.25.0 直到 2.25.2，Loofah：：HTML5：：Scrub.allowed_uri？不拒絕javascript：
    其配置分割或以 HTML5 命名空格字元參照為前置詞的 URI 	 或 。CGI.unescapeHTML 會保持這些參照不變，所以allowed_uri？即使瀏覽器解碼並剝離標籤或換行符並執行產生的 javascript： URL，也會報告 URL 安全。此問題只會影響將 HTML 編碼字串直接傳遞至 allowed_uri？;Loofah 的預設 sanitize（） 路徑不受影響。2.25.2 版已修正此問題。(CVE-2026-73491)

請注意，Nessus 依賴供應商報告的套件存在。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - Loofah は、Nokogiri の上に構築された、HTML/XML ドキュメントおよびフラグメントを操作および変換するための汎用ライブラリです。2.25.0から 2.25.2まで、Loofah::HTML5::Scrub.allowed_uri? は javascript:
    スキームが分割されているか、HTML5 名前付き空白文字参照でプレフィックスとして追加されている URI 	 または。CGI.unescapeHTMLはこれらの参照をそのまま残すので、allowed_uri?ブラウザがタブまたは改行をデコードしてストリップし、結果として生成された javascript: URL を実行する場合でも、URL は安全であると報告します。この問題の影響を受けるのは、HTML でエンコードされた文字列を allowed_uri?に直接渡す呼び出し元のみです。Loofah のデフォルトの sanitize() パスは影響を受けません。この問題はバージョン 2.25.2 で修正されています。(CVE-2026-73491)

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

The Linux/Unix host has one or more packages installed that are impacted by a vulnerability without a vendor supplied patch available.

  - Loofah is a general library for manipulating and transforming HTML/XML documents and fragments, built on     top of Nokogiri. From 2.25.0 until 2.25.2, Loofah::HTML5::Scrub.allowed_uri? does not reject javascript:
    URIs whose scheme is split or prefixed with the HTML5 named whitespace character references 	 or     . CGI.unescapeHTML leaves those references intact, so allowed_uri? reports the URL safe even     though a browser decodes and strips the tab or line feed and executes the resulting javascript: URL. This     issue affects only callers that pass HTML-encoded strings directly to allowed_uri?; Loofah's default     sanitize() path is not affected. This issue is fixed in version 2.25.2. (CVE-2026-73491)

Note that Nessus relies on the presence of the package as reported by the vendor.

ID	名前	製品	ファミリー	公開日	更新日	深刻度
445904	SCA: security update for loofah (GHSA-8whx-365g-h9vv)	Tenable Self-Hosted Container Security	SCA Checks	2026/8/13	2026/8/14	low
445904	SCA: security update for loofah (GHSA-8whx-365g-h9vv)	Tenable Cloud Security	SCA Checks	2026/8/13	2026/8/14	low
335148	Linux Distros 未修补的漏洞：CVE-2026-73491	Nessus	Misc.	2026/8/13	2026/11/6	low
335148	Linux Distros 未修補弱點：CVE-2026-73491	Nessus	Misc.	2026/8/13	2026/11/6	low
335148	Linux Distros のパッチ未適用の脆弱性: CVE-2026-73491	Nessus	Misc.	2026/8/13	2026/11/6	low
335148	Linux Distros Unpatched Vulnerability : CVE-2026-73491	Nessus	Misc.	2026/8/13	2026/11/6	low

検出

プラグインの検索

low

low

low

low

low

low