There are packages installed that are affected by a vulnerability referenced in the following CVE:

  - Vega is a visualization grammar, a declarative format for creating, saving, and sharing interactive
    visualization designs. In Vega prior to version 6.2.0, applications meeting 2 conditions are at risk of
    arbitrary JavaScript code execution, even if "safe mode" expressionInterpreter is used. They are
    vulnerable if they use `vega` in an application that attaches `vega` library and a `vega.View` instance
    similar to the Vega Editor to the global `window` and if they allow user-defined Vega `JSON` definitions
    (vs JSON that was is only provided through source code). Patches are available in the following Vega
    applications. If using the latest Vega line (6.x), upgrade to `vega` `6.2.0` / `vega-expression` `6.1.0` /
    `vega-interpreter` `2.2.1` (if using AST evaluator mode). If using Vega in a non-ESM environment, upgrade
    to `vega-expression` `5.2.1` / `1.2.1` (if using AST evaluator mode). Some workarounds are available. Do
    not attach `vega` View instances to global variables, and do not attach `vega` to the global window. These
    practices of attaching the vega library and View instances may be convenient for debugging, but should not
    be used in production or in any situation where vega/vega-lite definitions could be provided by untrusted
    parties. (CVE-2025-59840)

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - Vega 是一种可视化语法，一种用于创建、保存和共享交互式可视化设计的声明性格式。Vega 低于版本 6.2.0的版本中，满足 2 个条件的应用程序面临任意 JavaScript 代码执行的风险，即使使用安全模式 expressionInterpreter。如果它们在附加“vega”库和“vega”的应用程序中使用“vega”，则它们容易受到攻击。View“实例，类似于全局”窗口“的 Vega 编辑器，如果它们允许用户定义的 Vega”JSON“定义（与仅通过源代码提供的 JSON）相比，JSON 定义。下列 Vega 应用程序中提供修补程序。如果使用最新的 Vega 行 （），6.x升级到 'vega' '6.2.0' / 'vega-expression' '6.1.0' / 'vega-interpreter' '2.2.1'（如果使用 AST 评估器模式）。如果在非 ESM 环境中使用 Vega，请升级到 'vega-expression'5.2.1' / '1.2.1'（如果使用 AST 评估器模式）。但有一些变通方案。不将“vega”视图实例附加到全局变量，也不将“vega”附加到全局窗口。这些附加 vega 库和 View 实例的做法可能便于调试，但不应在生产中使用，也不应用于任何不受信任方可提供 vega/vega-lite 定义的情况。（CVE-2025-59840）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且廠商未提供可用的修補程式。

  - Vega 是一種視覺化文法，是一種用於建立、儲存和共用互動式視覺化設計的宣告式格式。在 Vega 之前的版本 6.2.0中，滿足 2 個條件的應用程式存在任意 JavaScript 程式碼執行的風險，即使使用安全模式 expressionInterpreter。如果他們在附加「vega」程式庫和「vega」的應用程式中使用「vega」，他們就很容易受到攻擊。View」實例，類似於全域「視窗」的 Vega 編輯器，如果它們允許使用者定義的 Vega「JSON」定義（與僅透過原始程式碼提供的 JSON）。修補程式可在下列 Vega 應用程式中使用。如果使用最新的 Vega 行 （6.x），請升級到 'vega' '6.2.0' / 'vega-expression' '6.1.0' / 'vega-interpreter' '2.2.1' （如果使用 AST 評估器模式）。如果在非 ESM 環境中使用 Vega，請升級至 'vega-expression' '5.2.1' / '1.2.1' （如果使用 AST 評估器模式）。您可以使用一些因應措施。不要將 'vega' 視圖實例附加到全域變數，也不要將 'vega' 附加到全域視窗。這些附加 vega 程式庫和檢視執行個體的做法可能方便偵錯，但不應在生產環境中使用，也不應用於不受信任的各方可能提供 vega/vega-lite 定義的任何情況下。（CVE-2025-59840）

請注意，Nessus 的判定取決於廠商所報告的套件是否存在。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - Vega は視覚化文法であり、インタラクティブな視覚化デザインを作成、保存、共有するための宣言形式です。バージョン 6.2.0 より前の Vega では、2 つの条件を満たすアプリケーションには、セーフモードの expressionInterpreter が使用されている場合でも、任意の JavaScript コード実行のリスクがあります。これらは、「vega」ライブラリおよび「vega」を添付するアプリケーションで「vega」を使用する場合、脆弱です。ユーザー定義の Vega 「JSON」定義が可能かどうか、および Vega エディターに類似した「インスタンスをグローバル「ウィンドウ」に表示します(ソースコードを通じてのみ提供される JSON の場合)。パッチは次の Vega アプリケーションで利用可能です。最新の Vega ライン(6.x)を使用している場合、「vega」「6.2.0」/「vega-expression」「6.1.0」/「vega-interpreter」「2.2.1」(AST エバリュエーターモードを使用している場合)にアップグレードしてください。非ESM環境でVegaを使用している場合は、「vega-expression」「5.2.1」/「1.2.1」(ASTエバリュエーターモードを使用している場合)にアップグレードしてください。いくつかの回避策が利用可能です。「vega」インスタンスをグローバル変数にアタッチしません。また、「vega」をグローバルウィンドウにアタッチしません。vega ライブラリと View のインスタンスをアタッチするこれらのプラクティスは、デバッグには便利かもしれませんが、実稼働環境や、vega/vega-lite 定義が信頼できないパーティによって提供される可能性がある状況では使用しないでください。(CVE-2025-59840)

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

The Linux/Unix host has one or more packages installed that are impacted by a vulnerability without a vendor supplied patch available.

  - Vega is a visualization grammar, a declarative format for creating, saving, and sharing interactive     visualization designs. In Vega prior to version 6.2.0, applications meeting 2 conditions are at risk of     arbitrary JavaScript code execution, even if safe mode expressionInterpreter is used. They are     vulnerable if they use `vega` in an application that attaches `vega` library and a `vega.View` instance     similar to the Vega Editor to the global `window` and if they allow user-defined Vega `JSON` definitions     (vs JSON that was is only provided through source code). Patches are available in the following Vega     applications. If using the latest Vega line (6.x), upgrade to `vega` `6.2.0` / `vega-expression` `6.1.0` /     `vega-interpreter` `2.2.1` (if using AST evaluator mode). If using Vega in a non-ESM environment, upgrade     to `vega-expression` `5.2.1` / `1.2.1` (if using AST evaluator mode). Some workarounds are available. Do     not attach `vega` View instances to global variables, and do not attach `vega` to the global window. These     practices of attaching the vega library and View instances may be convenient for debugging, but should not     be used in production or in any situation where vega/vega-lite definitions could be provided by untrusted     parties. (CVE-2025-59840)

Note that Nessus relies on the presence of the package as reported by the vendor.

ID	Name	Product	Family	Published	Updated	Severity
436047	SCA: security update for vega, vega-expression, vega-interpreter (GHSA-7f2v-3qq3-vvjf)	Tenable Cloud Security	SCA Checks	11/14/2025	7/2/2026	high
436047	SCA: security update for vega, vega-expression, vega-interpreter (GHSA-7f2v-3qq3-vvjf)	Tenable Self-Hosted Container Security	SCA Checks	11/14/2025	7/2/2026	high
282582	Linux Distros 未修补的漏洞：CVE-2025-59840	Nessus	Misc.	1/12/2026	7/5/2026	high
282582	Linux Distros 未修補的弱點：CVE-2025-59840	Nessus	Misc.	1/12/2026	7/5/2026	high
282582	Linux Distros のパッチ未適用の脆弱性: CVE-2025-59840	Nessus	Misc.	1/12/2026	7/5/2026	high
282582	Linux Distros Unpatched Vulnerability : CVE-2025-59840	Nessus	Misc.	1/12/2026	7/5/2026	high

Detections

Analytics

Plugins Search

high

high

high

high

high

high