There are packages installed that are affected by a vulnerability referenced in the following CVE:

  - jsdiff is a JavaScript text differencing implementation. Prior to versions 8.0.3, 5.2.2, 4.0.4, and 3.5.1,
    attempting to parse a patch whose filename headers contain the line break characters `\r`, `\u2028`, or
    `\u2029` can cause the `parsePatch` method to enter an infinite loop. It then consumes memory without
    limit until the process crashes due to running out of memory. Applications are therefore likely to be
    vulnerable to a denial-of-service attack if they call `parsePatch` with a user-provided patch as input. A
    large payload is not needed to trigger the vulnerability, so size limits on user input do not provide any
    protection. Furthermore, some applications may be vulnerable even when calling `parsePatch` on a patch
    generated by the application itself if the user is nonetheless able to control the filename headers (e.g.
    by directly providing the filenames of the files to be diffed). The `applyPatch` method is similarly
    affected if (and only if) called with a string representation of a patch as an argument, since under the
    hood it parses that string using `parsePatch`. Other methods of the library are unaffected. Finally, a
    second and lesser interdependent bug - a ReDOS - also exhibits when those same line break characters are
    present in a patch's *patch* header (also known as its "leading garbage"). A maliciously-crafted patch
    header of length *n* can take `parsePatch` O(*n*³) time to parse. Versions 8.0.3, 5.2.2, 4.0.4, and 3.5.1
    contain a fix. As a workaround, do not attempt to parse patches that contain any of these characters:
    `\r`, `\u2028`, or `\u2029`. (CVE-2026-24001)

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - jsdiff 是 JavaScript 文本差异实现。在低于版本 8.0.3、 5.2.2、 4.0.4和 3.5.1的情况下尝试解析其文件名标头包含换行符“\r”、“\u2028”或“\u2029”的修补程序可导致“parsePatch”方法进入无限循环。然后它会无限制地消耗内存直到进程因内存不足而崩溃。因此如果以用户提供的修补程序作为输入来调用“parsePatch”应用程序就可能容易遭受拒绝服务攻击。触发此漏洞不需要大负载因此对用户输入的大小限制不能提供任何保护。此外如果用户仍然能够控制文件名标头例如
    通过直接提供要比较的文件的文件名。当且仅当以修补程序的字符串表示形式作为参数调用时“applyPatch”方法受到类似影响因为在背后它使用“parsePatch”解析该字符串。库的其他方法不受影响。最后当修补程序的 *patch* 标头也称为其前导垃圾中存在这些相同的换行符时也会出现第二个较小的相互依存缺陷 - ReDOS。恶意构建的 *n* 长度的修补程序标头可解析“parsePatch”O(*n*) 时间。版本 8.0.3、 5.2.2、 4.0.4和 3.5.1 包含一个补丁。变通方案是不尝试解析包含任何这些字符的修补程序
    “\r”、“\u2028”或“\u2029”。 (CVE-2026-24001)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且供應商未提供可用的修補程式。

  - jsdiff 是 JavaScript 文字差異實作。在 8.0.3、 5.2.2、 4.0.4和 3.5.1版之前嘗試剖析檔案名稱標頭包含分行字元 `\r`、`\u2028` 或 `\u2029` 的修補程式會造成 `parsePatch`方法進入無限迴圈。然後它會無限制地消耗記憶體直到處理程序因記憶體不足而當機。因此如果應用程式以使用者提供的修補程式作為輸入呼叫 `parsePatch`則其可能容易遭受拒絕服務攻擊。不需要大型承載也可觸發此弱點因此對使用者輸入的大小限制不會提供任何保護。此外如果使用者能夠控制檔案名稱標頭則部分應用程式即使在應用程式本身產生的修補程式上呼叫「parsePatch」也可能容易遭受攻擊 (例如
    直接提供要比較之檔案的檔案名稱)。當 (且僅當) 以修補程式的字串表示作為引數進行呼叫時`applyPatch` 方法會受到類似影響因為在內部它是使用 `parsePatch` 來剖析該字串。該程式庫的其他方法不受影響。最後當修補程式的 *patch* 標頭中存在相同的換行字元時也會出現第二個也是次要的相互依存錯誤 (ReDOS) (亦即較小的錯誤) (亦稱為開頭無用內容)。長度為 *n* 的惡意特製修補程式標頭可花費 `parsePatch` O(*n*) 時間來剖析。 8.0.3、 5.2.2、 4.0.4和 3.5.1 版包含一個修正。因應措施為不要嘗試剖析包含以下任何字元的修補程式
    `\r`、`\u2028` 或 `\u2029`。 (CVE-2026-24001)

請注意，Nessus 的判定取決於廠商所報告的套件是否存在。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - jsdiff は JavaScript テキスト差分実装です。バージョン 8.0.3、 5.2.2、 4.0.4、 3.5.1より前では、ファイル名のヘッダーに改行文字\r、「\u2028」、または「\u2029」が含まれているパッチの解析を試行すると、「parsePatch」が発生する可能性があります。無限ループに陥る可能性があることを発見しました。その後、メモリ不足によりプロセスがクラッシュするまで、メモリを無制限に消費します。そのため、アプリケーションがユーザー提供のパッチを入力として「parsePatch」を呼び出す場合、サービス拒否攻撃に脆弱である可能性があります。この脆弱性をトリガーするために大きなペイロードは必要ないため、ユーザー入力のサイズ制限は保護を提供しません。さらに、ユーザーがファイル名のヘッダーをコントロールできる場合、アプリケーション自身が生成したパッチで「parsePatch」を呼び出すときであっても、一部のアプリケーションは脆弱である可能性があります(例
    diffed のファイル名を直接提供することによります。「applyPatch」メソッドは、パッチの文字列表現を引数として呼び出した場合のみ「parsePatch」を使用して文字列を解析するため、同様の影響を受けます。ライブラリの他のメソッドは影響を受けません。最後に、相互依存性の低いバグ - ReDOS - は、同じ改行文字がパッチの *patch* ヘッダーに存在する場合にも示します先頭ガベージとしても知られます。悪意をもって細工された長さ *n* のパッチヘッダーにより、「parsePatch」O(*n*) の解析にかかる時間がかかる可能性があります。バージョン 8.0.3、 5.2.2、 4.0.4、および 3.5.1 には修正が含まれています。回避策としては、次の文字のいずれかを含むパッチを解析しないでください。
    `\r`、「\u2028」、または「\u2029」。CVE-2026-24001

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

The Linux/Unix host has one or more packages installed that are impacted by a vulnerability without a vendor supplied patch available.

  - jsdiff is a JavaScript text differencing implementation. Prior to versions 8.0.3, 5.2.2, 4.0.4, and 3.5.1,     attempting to parse a patch whose filename headers contain the line break characters `\r`, `\u2028`, or     `\u2029` can cause the `parsePatch` method to enter an infinite loop. It then consumes memory without     limit until the process crashes due to running out of memory. Applications are therefore likely to be     vulnerable to a denial-of-service attack if they call `parsePatch` with a user-provided patch as input. A     large payload is not needed to trigger the vulnerability, so size limits on user input do not provide any     protection. Furthermore, some applications may be vulnerable even when calling `parsePatch` on a patch     generated by the application itself if the user is nonetheless able to control the filename headers (e.g.
    by directly providing the filenames of the files to be diffed). The `applyPatch` method is similarly     affected if (and only if) called with a string representation of a patch as an argument, since under the     hood it parses that string using `parsePatch`. Other methods of the library are unaffected. Finally, a     second and lesser interdependent bug - a ReDOS - also exhibits when those same line break characters are     present in a patch's *patch* header (also known as its leading garbage). A maliciously-crafted patch     header of length *n* can take `parsePatch` O(*n*) time to parse. Versions 8.0.3, 5.2.2, 4.0.4, and 3.5.1     contain a fix. As a workaround, do not attempt to parse patches that contain any of these characters:
    `\r`, `\u2028`, or `\u2029`. (CVE-2026-24001)

Note that Nessus relies on the presence of the package as reported by the vendor.

ID	Name	Product	Family	Published	Updated	Severity
436765	SCA: security update for diff (GHSA-73rr-hh4g-fpgx)	Tenable Self-Hosted Container Security	SCA Checks	1/15/2026	7/2/2026	medium
461520	Echo: diff: security update to 4.0.2+echo.1	Tenable Self-Hosted Container Security	Echo Local Security Checks	10/2/2026	10/5/2026	medium
436765	SCA: security update for diff (GHSA-73rr-hh4g-fpgx)	Tenable Cloud Security	SCA Checks	1/15/2026	7/2/2026	medium
461520	Echo: diff: security update to 4.0.2+echo.1	Tenable Cloud Security	Echo Local Security Checks	10/2/2026	10/5/2026	medium
296224	Linux Distros 未修补的漏洞：CVE-2026-24001	Nessus	Misc.	1/22/2026	11/7/2026	medium
296224	Linux Distros 未修補的弱點：CVE-2026-24001	Nessus	Misc.	1/22/2026	11/7/2026	medium
296224	Linux Distros のパッチ未適用の脆弱性: CVE-2026-24001	Nessus	Misc.	1/22/2026	11/7/2026	medium
296224	Linux Distros Unpatched Vulnerability : CVE-2026-24001	Nessus	Misc.	1/22/2026	11/7/2026	medium

Detections

Analytics

Plugins Search

medium

medium

medium

medium

medium

medium

medium

medium