There are packages installed that are affected by a vulnerability referenced in the following CVE:

  - fast-uri is a dependency-free RFC 3986 URI parser and serializer for Node.js. In versions from 2.4.2
    through 2.4.7, from 3.1.3 through 3.1.8, and from 4.0.1 through 4.2.2, for HTTP-family schemes the
    canonicalizeHost() function passes the parsed host to the WHATWG URL parser and adopts its hostname
    without checking that the parser consumed the entire input as a host, so the authority can be silently
    rewritten: data before an at-sign is dropped and tab, carriage-return, and line-feed characters are
    stripped, with no error reported. An application that enforces host-based policy such as denylists,
    loopback filtering, redirect validation, or outbound proxy routing on one representation can then see the
    canonical host diverge from what it checked, allowing traffic to be steered to an unintended destination.
    The issue is fixed in fast-uri 2.4.8, 3.1.9, and 4.2.3, and users should upgrade to one of these versions
    or later. As a workaround, reject an authority that contains more than one at-sign or any tab, carriage-
    return, or line-feed before calling fast-uri, or treat any non-empty parse error as fatal and compare
    hosts only from the same parse result. (CVE-2026-110180)

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且廠商未提供可用的修補程式。

  - fast-uri 是用於 Node.js 的無相依性 RFC 3986 URI 剖析程式和序列化程式。在 到 2.4.7、 到 3.1.33.1.8和 從 4.0.1 到 4.2.2的版本2.4.2中，對於 HTTP 系列方案，canonicalizeHost（） 函數將剖析的主機傳遞給 WHATWG URL 剖析器並採用其主機名稱，而不檢查剖析器是否將整個輸入作為主機使用，因此可以無訊息地重寫授權單位：刪除 at 符號之前的資料和 tab、回車符、 換行字元會被剝離，不會報告任何錯誤。在一個表示法上強制執行主機型原則 （例如拒絕清單、回送篩選、重新導向驗證或傳出 Proxy 路由） 的應用程式，則可以看到標準主機與其檢查的內容不同，從而允許將流量導向到非預期的目的地。
    此問題已在 fast-uri 2.4.8、 3.1.9和 4.2.3中修正，使用者應該升級至其中一個版本或更新版本。因應措施是拒絕包含多個 at-sign 或任何定位點、歸位或換行的授權單位，在呼叫 fast-uri 之前，或將任何非空白剖析錯誤視為重大，並僅從相同的剖析結果比較主機。（CVE-2026-110180）

請注意，Nessus 的判定取決於廠商所報告的套件是否存在。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - fast-uri 是一款用于 Node.js 的无依赖性 RFC 3986 URI 解析器和序列化程序。在 到 、 2.4.7到 3.1.33.1.8和 从 4.0.1 到 的4.2.2版本2.4.2中，对于 HTTP 系列方案，canonicalizeHost（） 函数会将解析的主机传递到 WHATWG URL 解析器并采用其主机名，而不检查解析器是否将整个输入作为主机消耗，因此可以静默重写颁发机构：删除 at-sign 和 tab 之前的数据，回车符， 并且换行符已被剥离，不会报告任何错误。如果应用程序在一个表示上实施基于主机的策略（例如拒绝列表、环回筛选、重定向验证或出站代理路由），则可看到规范主机与其检查的内容不同，从而允许将流量引导至非预期目的地。
    fast-uri 2.4.8、 3.1.9和 4.2.3中已修复此问题，用户应升级到其中一个版本或更高版本。变通方案是，在调用 fast-uri 之前，拒绝包含多个 at-sign 或任何制表符、回车符或换行符的颁发机构，或将任何非空解析错误视为致命错误，并仅比较来自相同解析结果的主机。（CVE-2026-110180）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - fast-uri は、Node.js 用の依存関係のない RFC 3986 URI パーサーおよびシリアライザーです。2.4.2 から 2.4.7、3.1.3 から 3.1.8、4.0.1 から 4.2.2 のバージョンでは、HTTPファミリースキームの場合、canonicalizeHost() 関数が解析されたホストを WHATWG URL パーサーに渡し、パーサーが入力全体をホストとして消費したことをチェックせずにそのホスト名を採用します。これにより、権限はサイレントに書き換えられます:アットマークがドロップされる前のデータとタブ、キャリッジリターン、 改行文字が削除され、エラーは報告されません。拒否リスト、ループバックフィルタリング、リダイレクト検証、送信プロキシルーティングなどのホストベースのポリシーを 1 つの表現に適用するアプリケーションは、標準的なホストがチェックした内容から逸脱しているのを見ることができます。これにより、トラフィックが意図しない宛先に誘導される可能性があります。
    この問題は fast-uri 2.4.8、 3.1.9、 4.2.3 で修正されており、ユーザーはこれらのバージョンのいずれか以降にアップグレードする必要があります。回避策として、fast-uri を呼び出す前に、複数のアットマーク、タブ、キャリッジリターン、または改行を含む権限を拒否するか、空でない解析エラーを致命的として扱い、同じ解析結果からのみホストを比較してください。(CVE-2026-110180)

Nessus は、ベンダーから報告されたパッケージの存在に依存していることに注意してください。

The Linux/Unix host has one or more packages installed that are impacted by a vulnerability without a vendor supplied patch available.

  - fast-uri is a dependency-free RFC 3986 URI parser and serializer for Node.js. In versions from 2.4.2     through 2.4.7, from 3.1.3 through 3.1.8, and from 4.0.1 through 4.2.2, for HTTP-family schemes the     canonicalizeHost() function passes the parsed host to the WHATWG URL parser and adopts its hostname     without checking that the parser consumed the entire input as a host, so the authority can be silently     rewritten: data before an at-sign is dropped and tab, carriage-return, and line-feed characters are     stripped, with no error reported. An application that enforces host-based policy such as denylists,     loopback filtering, redirect validation, or outbound proxy routing on one representation can then see the     canonical host diverge from what it checked, allowing traffic to be steered to an unintended destination.
    The issue is fixed in fast-uri 2.4.8, 3.1.9, and 4.2.3, and users should upgrade to one of these versions     or later. As a workaround, reject an authority that contains more than one at-sign or any tab, carriage-     return, or line-feed before calling fast-uri, or treat any non-empty parse error as fatal and compare     hosts only from the same parse result. (CVE-2026-110180)

Note that Nessus relies on the presence of the package as reported by the vendor.

ID	Name	Product	Family	Published	Updated	Severity
477239	SCA: security update for fast-uri (GHSA-wjr9-j795-jxcr)	Tenable Cloud Security	SCA Checks	10/24/2026	10/24/2026	medium
477239	SCA: security update for fast-uri (GHSA-wjr9-j795-jxcr)	Tenable Self-Hosted Container Security	SCA Checks	10/24/2026	10/24/2026	medium
367762	Linux Distros 未修補弱點：CVE-2026-110180	Nessus	Misc.	10/20/2026	10/28/2026	medium
367762	Linux Distros 未修补的漏洞：CVE-2026-110180	Nessus	Misc.	10/20/2026	10/28/2026	medium
367762	Linux Distros のパッチ未適用の脆弱性: CVE-2026-110180	Nessus	Misc.	10/20/2026	10/28/2026	medium
367762	Linux Distros Unpatched Vulnerability : CVE-2026-110180	Nessus	Misc.	10/20/2026	10/28/2026	medium

Detections

Analytics

Plugins Search

medium

medium

medium

medium

medium

medium