There are packages installed that are affected by a vulnerability referenced in the following CVE:

  - Preact, a lightweight web development framework, JSON serialization protection to prevent Virtual DOM
    elements from being constructed from arbitrary JSON. A regression introduced in Preact 10.26.5 caused this
    protection to be softened. In applications where values from JSON payloads are assumed to be strings and
    passed unmodified to Preact as children, a specially-crafted JSON payload could be constructed that would
    be incorrectly treated as a valid VNode. When this chain of failures occurs it can result in HTML
    injection, which can allow arbitrary script execution if not mitigated by CSP or other means. Applications
    using affected Preact versions are vulnerable if they meet all of the following conditions: first, pass
    unmodified, unsanitized values from user-modifiable data sources (APIs, databases, local storage, etc.)
    directly into the render tree; second assume these values are strings but the data source could return
    actual JavaScript objects instead of JSON strings; and third, the data source either fails to perform type
    sanitization AND blindly stores/returns raw objects interchangeably with strings, OR is compromised (e.g.,
    poisoned local storage, filesystem, or database). Versions 10.26.10, 10.27.3, and 10.28.2 patch the issue.
    The patch versions restore the previous strict equality checks that prevent JSON-parsed objects from being
    treated as valid VNodes. Other mitigations are available for those who cannot immediately upgrade.
    Validate input types, cast or validate network data, sanitize external data, and use Content Security
    Policy (CSP). (CVE-2026-22028)

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - Preact，一个轻量级 Web 开发框架，JSON 序列化保护可防止从任意 JSON 构建虚拟 DOM 元素。Preact 10.26.5 中引入的回归导致此保护被软化。在将 JSON 负载中的值假设为字符串并以子项身份未经修改而传递至 Preact 的应用程序中，可能会构造被错误地视为有效 VNode 的 JSON 负载。发生此故障链时，可导致 HTML 注入，如果不通过 CSP 或其他方法缓解，可允许任意脚本执行。如果使用受影响的 Preact 版本的应用程序满足以下所有条件，则它们容易遭受攻击：首先，将来自用户可修改的数据源（API、数据库、本地存储等）的未修改、未清理的值直接传递到渲染树中;第二，假设这些值是字符串，但数据源可以返回实际的 JavaScript 对象而不是 JSON 字符串;第三，数据源要么无法执行类型审查，要么盲目地存储/返回与字符串互换的原始对象，要么被破坏（例如，中毒的本地存储、文件系统或数据库）。版本 10.26.10和10.27.310.28.2修补程序。
    修补程序版本还原了之前严格的相等性检查，这些检查阻止 JSON 解析的对象被视为有效的 VNode。对于无法立即升级的用户，可以使用其他缓解措施。
    验证输入类型、转换或验证网络数据、审查外部数据以及使用内容安全策略 （CSP）。（CVE-2026-22028）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且供應商未提供可用的修補程式。

  - Preact，一個輕量級的 Web 開發框架，JSON 序列化保護，以防止從任意 JSON 構建虛擬 DOM 元素。Preact 10.26.5 中引入的迴歸導致此保護被軟化。在假設 JSON 承載中的值為字串，且未修改後作為子項傳遞至 Preact 的應用程式中，可能會建構特製的 JSON 承載，該承載會被錯誤地視為有效的 VNode。當發生此失敗鏈結時，可能會導致 HTML 插入，如果 CSP 或其他方式未緩解，則可能會允許任意指令碼執行。使用受影響 Preact 版本的應用程式如果符合以下所有條件，則容易受到攻擊：首先，將來自使用者可修改資料來源 （API、資料庫、本機儲存體等） 的未經修改、未經清理的值直接傳遞至轉譯樹狀結構;其次，假設這些值是字串，但資料來源可以傳回實際的 JavaScript 物件，而不是 JSON 字串;第三，資料來源要么無法執行類型清理，要么盲目地儲存/傳回原始物件，與字串互換，要么遭到入侵（例如，中毒的本機儲存、檔案系統或資料庫）。版本 10.26.10、 10.27.3和 10.28.2 修補問題。
    修補程式版本會還原先前嚴格的相等檢查，以防止 JSON 剖析物件被視為有效的 VNode。對於無法立即升級的用戶，可以使用其他緩解措施。
    驗證輸入類型、轉換或驗證網路資料、清理外部資料，以及使用內容安全性原則 （CSP）。（CVE-2026-22028）

請注意，Nessus 的判定取決於廠商所報告的套件是否存在。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - 軽量 Web 開発フレームワークである Preact は、仮想 DOM 要素が任意の JSON から構築されるのを防ぐための JSON シリアル化保護です。Preact 10.26.5 で導入された回帰により、この保護が緩和されました。JSON ペイロードからの値が文字列であると想定され、変更を加えずに子として Preact に渡されるアプリケーションでは、特別に細工された JSON ペイロードが構築され、有効な VNode として不適切に処理される可能性があります。一連の障害が発生すると、HTML インジェクションが発生する可能性があるため、CSP やその他の手段で緩和しなければ、任意のスクリプト実行が引き起こされる可能性があります。影響を受ける Preact バージョンを使用しているアプリケーションは、次の条件をすべて満たしている場合に脆弱です:まず、ユーザーが変更可能なデータソース(API、データベース、ローカルストレージなど)から未修正およびサニタイズされていない値をレンダーツリーに直接渡します。第二に、これらの値は文字列ですが、データソースは JSON 文字列ではなく実際の JavaScript オブジェクトを返す可能性があると仮定します。3 つ目は、データソースが型サニタイズの実行に失敗し、RAW オブジェクトを文字列と同じ意味で盲目的に保存/返すか、または危険にさらされている (たとえば、侵害されたローカルストレージ、ファイルシステム、またはデータベース) のいずれかです。バージョン 10.26.10、 10.27.3、およびバージョン 10.28.2 は、この問題にパッチを適用します。
    パッチバージョンは、以前の厳格な等価性チェックを復元します。これにより、JSON 解析済みオブジェクトが有効な VNode として処理されないようになります。すぐにアップグレードできない場合は、その他の緩和策を利用できます。
    入力型の検証、ネットワークデータのキャストまたは検証、外部データのサニタイズ、Content Security Policy (CSP) の使用。(CVE-2026-22028)

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

The Linux/Unix host has one or more packages installed that are impacted by a vulnerability without a vendor supplied patch available.

  - Preact, a lightweight web development framework, JSON serialization protection to prevent Virtual DOM     elements from being constructed from arbitrary JSON. A regression introduced in Preact 10.26.5 caused this     protection to be softened. In applications where values from JSON payloads are assumed to be strings and     passed unmodified to Preact as children, a specially-crafted JSON payload could be constructed that would     be incorrectly treated as a valid VNode. When this chain of failures occurs it can result in HTML     injection, which can allow arbitrary script execution if not mitigated by CSP or other means. Applications     using affected Preact versions are vulnerable if they meet all of the following conditions: first, pass     unmodified, unsanitized values from user-modifiable data sources (APIs, databases, local storage, etc.)     directly into the render tree; second assume these values are strings but the data source could return     actual JavaScript objects instead of JSON strings; and third, the data source either fails to perform type     sanitization AND blindly stores/returns raw objects interchangeably with strings, OR is compromised (e.g.,     poisoned local storage, filesystem, or database). Versions 10.26.10, 10.27.3, and 10.28.2 patch the issue.
    The patch versions restore the previous strict equality checks that prevent JSON-parsed objects from being     treated as valid VNodes. Other mitigations are available for those who cannot immediately upgrade.
    Validate input types, cast or validate network data, sanitize external data, and use Content Security     Policy (CSP). (CVE-2026-22028)

Note that Nessus relies on the presence of the package as reported by the vendor.

ID	Name	Product	Family	Published	Updated	Severity
436603	SCA: security update for preact (GHSA-36hm-qxxp-pg3m)	Tenable Cloud Security	SCA Checks	1/7/2026	10/28/2026	critical
436603	SCA: security update for preact (GHSA-36hm-qxxp-pg3m)	Tenable Self-Hosted Container Security	SCA Checks	1/7/2026	10/28/2026	critical
282480	Linux Distros 未修补的漏洞：CVE-2026-22028	Nessus	Misc.	1/8/2026	10/8/2026	critical
282480	Linux Distros 未修補弱點：CVE-2026-22028	Nessus	Misc.	1/8/2026	10/8/2026	critical
282480	Linux Distros のパッチ未適用の脆弱性: CVE-2026-22028	Nessus	Misc.	1/8/2026	10/8/2026	critical
282480	Linux Distros Unpatched Vulnerability : CVE-2026-22028	Nessus	Misc.	1/8/2026	10/8/2026	critical

Detections

Analytics

Plugins Search

critical

critical

critical

critical

critical

critical