There are packages installed that are affected by a vulnerability referenced in the following CVE:

  - fast-uri is a dependency-free RFC 3986 URI parser and serializer for Node.js. In versions before 2.4.8,
    from 3.0.0 through 3.1.8, and from 4.0.0 through 4.2.2, fast-uri percent-decodes the scheme component with
    the legacy global unescape() function before validating it, so an input whose decoded scheme is a
    dangerous token is emitted as a live scheme even though RFC 3986 does not allow percent-encoding in a
    scheme and no other parser accepts it. An application that screens dangerous schemes on the raw input and
    then stores or renders the normalized or resolved result can turn an inert string into an executable
    javascript, data, or vbscript URL, producing a stored or reflected cross-site scripting vector, and the
    equal() comparison treats an encoded and a plain scheme as the same, which can bypass equality-based
    allowlists. The issue is fixed in fast-uri 2.4.8, 3.1.9, and 4.2.3, and users should upgrade to one of
    these versions or later. As a workaround, reject input whose scheme part contains a percent sign, or check
    the parsed scheme against an allowlist after normalization and use that same parsed result rather than the
    raw string. (CVE-2026-110306)

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且廠商未提供可用的修補程式。

  - fast-uri 是用於 Node.js 的無相依性 RFC 3986 URI 剖析程式和序列化程式。在之前的版本 2.4.8中 、 from 3.0.0 through 3.1.8和 from 4.0.0 through 4.2.2，fast-uri 在驗證之前會使用舊版全域 unescape（） 函數對配置元件進行百分比解碼，因此即使 RFC 3986 不允許在配置中進行百分比編碼，也沒有其他解析器接受它，其解碼方案是危險標記的輸入也會作為即時配置發出。在原始輸入上篩選危險方案，然後儲存或轉譯正規化或解析結果的應用程式，可以將惰性字串轉換為可執行的 javascript、資料或 vbscript URL，產生儲存或反映的跨網站指令碼向量，而 equal（） 比較會將編碼和純方案視為相同，這可以繞過相等型允許清單。此問題已在 fast-uri 2.4.8、 3.1.9和 4.2.3中修正，使用者應該升級至其中一個版本或更新版本。因應措施是拒絕其配置部分包含百分號的輸入，或在正規化後根據允許清單檢查剖析的配置，並使用相同的剖析結果而不是原始字串。（CVE-2026-110306）

請注意，Nessus 的判定取決於廠商所報告的套件是否存在。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - fast-uri 是一款用于 Node.js 的无依赖性 RFC 3986 URI 解析器和序列化程序。在 、 到 3.0.0 和 3.1.8from 4.0.0 之前4.2.2的版本2.4.8中，fast-uri 在验证前会使用旧版全局 unescape（） 函数对方案组件进行百分比解码，因此即使 RFC 3986 不允许在方案中进行百分比编码，而且其他解析器也不接受，解码方案为危险标记的输入也会作为实时方案发出。如果应用程序针对原始输入筛选出危险的方案，然后存储或呈现标准化或解析结果，则可将惰性字符串转换为可执行的 javascript、data 或 vbscript URL，从而生成存储或反射型跨站脚本矢量，并且 equal（） 比较将编码方案和纯方案视为相同，从而可绕过基于相等的允许列表。fast-uri 2.4.8、 3.1.9和 4.2.3中已修复此问题，用户应升级到其中一个版本或更高版本。变通方案是拒绝方案部分包含百分号的输入，或者在标准化后对照允许列表检查解析的方案，并使用相同的解析结果而不是原始字符串。（CVE-2026-110306）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - fast-uri は、Node.js 用の依存関係のない RFC 3986 URI パーサーおよびシリアライザーです。2.4.8 より前のバージョン、3.0.0 から 3.1.8、4.0.0 から 4.2.2 のバージョンでは、高速 uri は、レガシーグローバル unescape() 関数を使用してスキームコンポーネントを検証する前にパーセントデコードします。そのため、RFC 3986 がスキームでのパーセントエンコーディングを許可しておらず、他のパーサーが受け入れない場合でも、デコードされたスキームが危険なトークンである入力はライブスキームとして出力されます。生の入力で危険なスキームをスクリーニングし、正規化された結果または解決された結果を保存またはレンダリングするアプリケーションは、不活性文字列を実行可能な javascript、データ、または vbscript URL に変換し、保存または折り返し型のクロスサイトスクリプティングベクトルを生成する可能性があります。また、equal() 比較では、エンコードされたスキームとプレーンスキームを同じものとして扱うため、等価ベースの許可リストをバイパスできます。この問題は fast-uri 2.4.8、 3.1.9、 4.2.3 で修正されており、ユーザーはこれらのバージョンのいずれか以降にアップグレードする必要があります。回避策として、スキーム部分にパーセント記号が含まれている入力を拒否するか、正規化後に許可リストと照らし合わせて解析されたスキームをチェックし、未加工の文字列ではなく同じ解析結果を使用します。(CVE-2026-110306)

Nessus は、ベンダーから報告されたパッケージの存在に依存していることに注意してください。

The Linux/Unix host has one or more packages installed that are impacted by a vulnerability without a vendor supplied patch available.

  - fast-uri is a dependency-free RFC 3986 URI parser and serializer for Node.js. In versions before 2.4.8,     from 3.0.0 through 3.1.8, and from 4.0.0 through 4.2.2, fast-uri percent-decodes the scheme component with     the legacy global unescape() function before validating it, so an input whose decoded scheme is a     dangerous token is emitted as a live scheme even though RFC 3986 does not allow percent-encoding in a     scheme and no other parser accepts it. An application that screens dangerous schemes on the raw input and     then stores or renders the normalized or resolved result can turn an inert string into an executable     javascript, data, or vbscript URL, producing a stored or reflected cross-site scripting vector, and the     equal() comparison treats an encoded and a plain scheme as the same, which can bypass equality-based     allowlists. The issue is fixed in fast-uri 2.4.8, 3.1.9, and 4.2.3, and users should upgrade to one of     these versions or later. As a workaround, reject input whose scheme part contains a percent sign, or check     the parsed scheme against an allowlist after normalization and use that same parsed result rather than the     raw string. (CVE-2026-110306)

Note that Nessus relies on the presence of the package as reported by the vendor.

ID	Name	Product	Family	Published	Updated	Severity
477235	SCA: security update for fast-uri (GHSA-w74x-v6f9-j3xg)	Tenable Cloud Security	SCA Checks	10/24/2026	10/24/2026	medium
477235	SCA: security update for fast-uri (GHSA-w74x-v6f9-j3xg)	Tenable Self-Hosted Container Security	SCA Checks	10/24/2026	10/24/2026	medium
367761	Linux Distros 未修補弱點：CVE-2026-110306	Nessus	Misc.	10/20/2026	10/28/2026	medium
367761	Linux Distros 未修补的漏洞：CVE-2026-110306	Nessus	Misc.	10/20/2026	10/28/2026	medium
367761	Linux Distros のパッチ未適用の脆弱性: CVE-2026-110306	Nessus	Misc.	10/20/2026	10/28/2026	medium
367761	Linux Distros Unpatched Vulnerability : CVE-2026-110306	Nessus	Misc.	10/20/2026	10/28/2026	medium

Detections

Analytics

Plugins Search

medium

medium

medium

medium

medium

medium