There are packages installed that are affected by a vulnerability referenced in the following CVE:

  - league/commonmark is a PHP Markdown parser. A cross-site scripting (XSS) vulnerability in the Attributes
    extension of the league/commonmark library (versions 1.5.0 through 2.6.x) allows remote attackers to
    insert malicious JavaScript calls into HTML. The league/commonmark library provides configuration options
    such as `html_input: 'strip'` and `allow_unsafe_links: false` to mitigate cross-site scripting (XSS)
    attacks by stripping raw HTML and disallowing unsafe links. However, when the Attributes Extension is
    enabled, it introduces a way for users to inject arbitrary HTML attributes into elements via Markdown
    syntax using curly braces. Version 2.7.0 contains three changes to prevent this XSS attack vector: All
    attributes starting with `on` are considered unsafe and blocked by default; support for an explicit
    allowlist of allowed HTML attributes; and manually-added `href` and `src` attributes now respect the
    existing `allow_unsafe_links` configuration option. If upgrading is not feasible, please consider
    disabling the `AttributesExtension` for untrusted users and/or filtering the rendered HTML through a
    library like HTMLPurifier. (CVE-2025-46734)

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  -league/commonmark 是 PHP Markdown 解析器。club/commonmark 库版本 1.5.0 到 2.6.x的 Attributes 扩展中存在跨站脚本 (XSS) 漏洞允许远程攻击者在 HTML 中插入恶意 JavaScript 调用。大联盟/commonmark 库提供如“html_input: 'strip'”和“allow_unsafe_links: false”的配置选项可通过剥离原始 HTML 和禁止不安全的链接来缓解跨站脚本 (XSS) 攻击。但是当启用属性扩展时 会引入一种用户可通过使用大括号的 Markdown 语法向元素中注入任意 HTML 属性的方式。版本 2.7.0 包含三项变更以防止此 XSS 攻击向量所有以 `on` 开头的属性默认视为不安全要拦截支持将允许的 HTML 属性列入明确的允许列表和 手动添加的“href”和“src”属性现在遵从现有的“allow_unsafe_links”配置选项。如果升级不可行请考虑为不受信任的用户禁用“AttributesExtension”和/或通过 HTMLPurifier 等库过滤渲染的 HTML。 (CVE-2025-46734)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

远程 Ubuntu 20.04 LTS / 22.04 LTS / 24.04 LTS 主机上安装的一个程序包受到 USN-8194-1 公告中提及的多个漏洞的影响。

    发现联盟/commonmark 在启用属性扩展时未正确限制不安全属性。攻击者可能利用此问题通过向呈现的 HTML 中注入恶意代码来造成跨站脚本。此问题仅影响 Ubuntu 22.04 LTS 和 Ubuntu 24.04 LTS。(CVE-2025-46734)

    发现league/commonmark 在某些情况下未能正确阻断某些不允许的 HTML 标记。攻击者可能利用此问题通过插入绕过过滤的恶意 HTML 而造成跨站脚本。 (CVE-2026-30838)

    联盟/commonmark 中发现未在 Embed 扩展中正确强制执行域白名单检查。攻击者可能利用此问题绕过域限制并导致不受信任的内容被视为允许。此问题仅影响 Ubuntu 24.04 LTS。(CVE-2026-33347)

Tenable 已直接从 Ubuntu 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且廠商未提供可用的修補程式。

  - League/commonmark 是 PHP Markdown 剖析器。league/commonmark 程式庫 (版本 1.5.0 至 2.6.x[] ) 的屬性延伸模組 (版本 [] 至  ) 中有一個跨網站指令碼 (XSS) 弱點允許遠端攻擊者將惡意 JavaScript 呼叫插入 HTML。League/commonmark 程式庫提供 `html_input: 'strip'` 和 `allow_unsafe_links: false` 等組態選項去除原始 HTML 並禁止不安全的連結藉此減輕跨網站指令碼 (XSS) 攻擊的影響。不過當啟用屬性延伸模組時它會引入一種方法讓使用者透過使用大括號的 Markdown 語法將任意 HTML 屬性插入元素中。版 2.7.0 包含三項變更可防止此 XSS 攻擊向量支援允許的 HTML 屬性的明確允許清單以及手動新增的 `href` 和 `src` 屬性現在會遵循現有的 `allow_unsafe_links` 組態選項。如果無法升級請考慮為不受信任的使用者停用 `AttributesExtension` 及/或透過 HTMLPurifier 之類的程式庫篩選轉譯的 HTML。 (CVE-2025-46734)

請注意，Nessus 的判定取決於廠商所報告的套件是否存在。

遠端 Ubuntu 20.04 LTS/22.04 LTS/24.04 LTS 主機上安裝的一個套件受到 USN-8194-1 公告中所提及的多個弱點影響。

    據發現當啟用屬性延伸模組時league/commonmark 未正確限制不安全的屬性。攻擊者可能利用此問題透過將惡意程式碼插入轉譯的 HTML 來造成跨網站指令碼。此問題僅影響 Ubuntu 22.04 LTS 和 Ubuntu 24.04 LTS。(CVE-2025-46734)

    據發現league/commonmark 在某些情況下未正確封鎖某些不允許的 HTML 標籤。攻擊者可能利用此問題透過插入繞過篩選的惡意 HTML 來造成跨網站指令碼。 (CVE-2026-30838)

    據發現league/commonmark 未正確強制內嵌延伸模組中的網域允許清單檢查。攻擊者可能利用此問題繞過網域限制並將不受信任的內容視為允許。這個問題只會影響 Ubuntu 24.04 LTS。(CVE-2026-33347)

Tenable 已直接從 Ubuntu 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  -league/commonmark は PHP Markdown パーサーです。league/commonmark ライブラリバージョン 1.5.0 から 2.6.xまでの Attributes 拡張にあるクロスサイトスクリプティングXSSの脆弱性により、リモートの攻撃者が悪意ある JavaScript の呼び出しを HTML に挿入することが可能です。liger/commonmark ライブラリでは、生の HTML を除去し、安全でないリンクを許可しないことで、クロスサイトスクリプティングXSS攻撃を緩和するために、「html_input: 'strip'」や「allow_unsafe_links: false」などの構成オプションを提供しています。ただし、属性拡張が有効の場合、波括弧を使用するマークダウン構文を介して、ユーザーが任意の HTML 属性を要素に注入できる方法が導入されます。バージョン 2.7.0 には、この XSS 攻撃ベクトルを防ぐために 3 つの変更が含まれています 「on」で始まるすべての属性は安全でないと見なされ、デフォルトでブロックされます。許可された HTML 属性の明示的な許可リストに対するサポート。および手動で追加された「href」と「src」属性は、既存の「allow_unsafe_links」構成オプションを反映するようになりました。アップグレードが実行できない場合は、信頼できないユーザーのために「AttributesExtension」を無効にするか、HTMLPurifier のようなライブラリを通じてレンダリングされる HTML をフィルタリングすることを検討してください。CVE-2025-46734

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

リモートの Ubuntu 20.04LTS/22.04 LTS/24.04 LTS ホストには、USN-8194-1 アドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    属性拡張が有効な場合、lighttpd で安全でない属性が適切に制限されないことが判明しました。攻撃者がこの問題を利用して、レンダリングされた HTML に悪意あるコードを注入することで、クロスサイトスクリプティングを引き起こす可能性があります。この問題の影響を受けるのは、Ubuntu 22.04 LTS と Ubuntu 24.04 LTS のみです。(CVE-2025-46734)

    league/commonmark が特定の許可されていない HTML タグを適切にブロックしていない場合があることが発見されました。攻撃者がこの問題を利用して、フィルタリングをバイパスする悪意のある HTML を挿入することで、クロスサイトスクリプティングを引き起こす可能性があります。CVE-2026-30838

    league/commonmark が Embed 拡張でドメイン許可リストチェックを適切に実施していないことが判明しました。攻撃者がこの問題を利用して、ドメイン制限をバイパスし、信頼できないコンテンツを許可として処理する可能性があります。この問題の影響を受けるのは、Ubuntu 24.04 LTS のみです。(CVE-2026-33347)

Tenable は、前述の説明ブロックを Ubuntu セキュリティアドバイザリからすでに直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

The Linux/Unix host has one or more packages installed that are impacted by a vulnerability without a vendor supplied patch available.

  - league/commonmark is a PHP Markdown parser. A cross-site scripting (XSS) vulnerability in the Attributes     extension of the league/commonmark library (versions 1.5.0 through 2.6.x) allows remote attackers to     insert malicious JavaScript calls into HTML. The league/commonmark library provides configuration options     such as `html_input: 'strip'` and `allow_unsafe_links: false` to mitigate cross-site scripting (XSS)     attacks by stripping raw HTML and disallowing unsafe links. However, when the Attributes Extension is     enabled, it introduces a way for users to inject arbitrary HTML attributes into elements via Markdown     syntax using curly braces. Version 2.7.0 contains three changes to prevent this XSS attack vector: All     attributes starting with `on` are considered unsafe and blocked by default; support for an explicit     allowlist of allowed HTML attributes; and manually-added `href` and `src` attributes now respect the     existing `allow_unsafe_links` configuration option. If upgrading is not feasible, please consider     disabling the `AttributesExtension` for untrusted users and/or filtering the rendered HTML through a     library like HTMLPurifier. (CVE-2025-46734)

Note that Nessus relies on the presence of the package as reported by the vendor.

The remote Ubuntu 20.04 LTS / 22.04 LTS / 24.04 LTS host has a package installed that is affected by multiple vulnerabilities as referenced in the USN-8194-1 advisory.

    It was discovered that league/commonmark did not properly restrict unsafe attributes when the Attributes     extension was enabled. An attacker could possibly use this issue to cause cross-site scripting by     injecting malicious code into rendered HTML. This issue only affected Ubuntu 22.04 LTS and Ubuntu 24.04     LTS. (CVE-2025-46734)

    It was discovered that league/commonmark did not properly block certain disallowed HTML tags in some     cases. An attacker could possibly use this issue to cause cross-site scripting by inserting malicious HTML     that bypassed filtering. (CVE-2026-30838)

    It was discovered that league/commonmark did not properly enforce domain allowlist checks in the Embed     extension. An attacker could possibly use this issue to bypass domain restrictions and cause untrusted     content to be treated as allowed. This issue only affected Ubuntu 24.04 LTS. (CVE-2026-33347)

Tenable has extracted the preceding description block directly from the Ubuntu security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

ID	Name	Product	Family	Published	Updated	Severity
434712	SCA: security update for league/commonmark (GHSA-3527-qv2q-pfvx)	Tenable Cloud Security	SCA Checks	8/19/2025	7/2/2026	medium
434712	SCA: security update for league/commonmark (GHSA-3527-qv2q-pfvx)	Tenable Self-Hosted Container Security	SCA Checks	8/19/2025	7/2/2026	medium
255893	Linux Distros 未修补的漏洞：CVE-2025-46734	Nessus	Misc.	8/27/2025	9/2/2026	medium
309186	Ubuntu 20.04 LTS / 22.04 LTS / 24.04 LTSleague/commonmark 漏洞 (USN-8194-1)	Nessus	Ubuntu Local Security Checks	4/22/2026	4/22/2026	medium
255893	Linux Distros 未修補的弱點：CVE-2025-46734	Nessus	Misc.	8/27/2025	9/2/2026	medium
309186	Ubuntu 20.04 LTS / 22.04 LTS / 24.04 LTSleague/commonmark 弱點 (USN-8194-1)	Nessus	Ubuntu Local Security Checks	4/22/2026	4/22/2026	medium
255893	Linux Distros のパッチ未適用の脆弱性: CVE-2025-46734	Nessus	Misc.	8/27/2025	9/2/2026	medium
309186	Ubuntu 20.04 LTS/ 22.04 LTS/ 24.04 LTSleaf/commonmark の脆弱性USN-8194-1	Nessus	Ubuntu Local Security Checks	4/22/2026	4/22/2026	medium
255893	Linux Distros Unpatched Vulnerability : CVE-2025-46734	Nessus	Misc.	8/27/2025	9/2/2026	medium
309186	Ubuntu 20.04 LTS / 22.04 LTS / 24.04 LTS : league/commonmark vulnerabilities (USN-8194-1)	Nessus	Ubuntu Local Security Checks	4/22/2026	4/22/2026	medium

Detections

Analytics

Plugins Search

medium

medium

medium

medium

medium

medium

medium

medium

medium

medium