There are packages installed that are affected by a vulnerability referenced in the following CVE:

  - DOMPurify is a DOM-only cross-site scripting sanitizer for HTML, MathML, and SVG. Prior to 3.4.6,
    DOMPurify.sanitize(root, { IN_PLACE: true }) could preserve event-handler attributes on an attacker-
    controlled <form> root when a descendant name clobbered properties checked by _isClobbered, because
    _forceRemove no-opped on the parent-less root and _sanitizeAttributes returned early. This issue is fixed
    in version 3.4.6. (CVE-2026-49459)

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且供應商未提供可用的修補程式。

  - DOMPurify 是適用於 HTML、MathML 和 SVG 的僅限 DOM 的跨網站腳本清理器。在 3.4.6之前，當子代名稱破壞_isClobbered檢查的屬性時，DOMPurify.sanitize（root， { IN_PLACE： true }） 可以在攻擊者控制 <form> 的 root 上保留事件處理常式屬性，因為
    _forceRemove無父項根和_sanitizeAttributes提前返回。3.4.6 版已修正此問題。(CVE-2026-49459)

請注意，Nessus 的判定取決於廠商所報告的套件是否存在。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - DOMPurify 是 HTML、MathML 和 SVG 的仅限 DOM 跨站脚本审查程序。在以下版本 3.4.6之前，当子代名称破坏了 _isClobbered 检查的属性时，DOMPurify.sanitize（root， { IN_PLACE： true }） 可以在攻击者控制 <form> 的根中保留事件处理程序属性，因为
    无父项的根_forceRemove no-opped，_sanitizeAttributes提早返回。此问题已在 3.4.6 版本中修复。(CVE-2026-49459)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - DOMPurify は、HTML、MathML、および SVG 用の DOM 専用のクロスサイトスクリプティングサニタイザーです。3.4.6 以前では、子孫名が _isClobbered によってチェックされるプロパティを破壊する場合、DOMPurify.sanitize(root, { IN_PLACE: true }) が攻撃者の制御下にある <form> root 上でイベントハンドラー属性を保持する可能性がありました。
    _forceRemove親のないルートで no-opped を行い、_sanitizeAttributes早く返されました。この問題はバージョン 3.4.6 で修正されています。(CVE-2026-49459)

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

The Linux/Unix host has one or more packages installed that are impacted by a vulnerability without a vendor supplied patch available.

  - DOMPurify is a DOM-only cross-site scripting sanitizer for HTML, MathML, and SVG. Prior to 3.4.6,     DOMPurify.sanitize(root, { IN_PLACE: true }) could preserve event-handler attributes on an attacker-     controlled <form> root when a descendant name clobbered properties checked by _isClobbered, because
    _forceRemove no-opped on the parent-less root and _sanitizeAttributes returned early. This issue is fixed     in version 3.4.6. (CVE-2026-49459)

Note that Nessus relies on the presence of the package as reported by the vendor.

ID	Name	Product	Family	Published	Updated	Severity
443248	SCA: security update for dompurify (GHSA-r47g-fvhr-h676)	Tenable Self-Hosted Container Security	SCA Checks	6/16/2026	7/22/2026	medium
443248	SCA: security update for dompurify (GHSA-r47g-fvhr-h676)	Tenable Cloud Security	SCA Checks	6/16/2026	7/22/2026	medium
464746	Echo: dompurify: security update to 3.4.6	Tenable Cloud Security	Echo Local Security Checks	10/2/2026	10/5/2026	medium
464746	Echo: dompurify: security update to 3.4.6	Tenable Self-Hosted Container Security	Echo Local Security Checks	10/2/2026	10/5/2026	medium
327175	Linux Distros 未修補弱點：CVE-2026-49459	Nessus	Misc.	7/16/2026	10/28/2026	medium
327175	Linux Distros 未修补的漏洞：CVE-2026-49459	Nessus	Misc.	7/16/2026	10/28/2026	medium
327175	Linux Distros のパッチ未適用の脆弱性: CVE-2026-49459	Nessus	Misc.	7/16/2026	10/28/2026	medium
327175	Linux Distros Unpatched Vulnerability : CVE-2026-49459	Nessus	Misc.	7/16/2026	10/28/2026	medium

Detections

Analytics

Plugins Search

medium

medium

medium

medium

medium

medium

medium

medium