There are packages installed that are affected by a vulnerability referenced in the following CVE:

  - qui is a web interface for managing qBittorrent instances. Versions 1.14.1 and below use a permissive CORS
    policy that reflects arbitrary origins while also returning Access-Control-Allow-Credentials: true,
    effectively allowing any external webpage to make authenticated requests on behalf of a logged-in user. An
    attacker can exploit this by tricking a victim into loading a malicious webpage, which silently interacts
    with the application using the victim's session and potentially exfiltrating sensitive data such as API
    keys and account credentials, or even achieving full system compromise through the built-in External
    Programs manager. Exploitation requires that the victim access the application via a non-localhost
    hostname and load an attacker-controlled webpage, making highly targeted social-engineering attacks the
    most likely real-world scenario. This issue was not fixed at the time of publication. (CVE-2026-30924)

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - qui 是用于管理 qBittorrent 实例的 Web 界面。1.14.1 及更低版本使用反映任意来源的宽松 CORS 策略，同时还返回 Access-Control-Allow-Credentials: true，从而有效允许任何外部网页代表登录用户发出经身份验证的请求。攻击者可以通过诱骗受害者加载恶意网页来利用此漏洞，该网页会悄悄地与使用受害者会话的应用程序进行交互，并可能泄露敏感数据（如 API 密钥和帐户凭据），甚至可以通过内置的外部程序管理器实现对系统的全面入侵。如需利用此漏洞，受害者需要通过非本地主机名访问应用程序，并加载受攻击者控制的网页，因此实际场景中最有可能发生的情况是有高度针对性的社会工程攻击。截至发布之时，此问题尚未修复。(CVE-2026-30924)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且供應商未提供可用的修補程式。

  - qui 是用於管理 qBittorrent 執行個體的 Web 介面。1.14.1 版及更舊版本使用可反映任意來源的寬鬆 CORS 原則，同時也傳回 Access-Control-Allow-Credentials: true，有效地允許任何外部網頁代表已登入的使用者提出經驗證的要求。攻擊者可透過誘騙受害者載入惡意網頁來惡意利用此弱點，該網頁會在使用者完全察覺不到的情況下，與使用受害者工作階段的應用程式互動，並可能造成 API 金鑰和帳戶憑證等敏感資料外洩，甚至透過內建的外部程式管理員取得系統完整控制權。要惡意利用此弱點，受害者必須透過非 localhost 主機名稱存取應用程式，並載入受攻擊者控制的網頁，這使得高度針對性的社交工程攻擊，成為現實中最可能的攻擊情境。截至本文發布為止，該問題仍未修正。(CVE-2026-30924)

請注意，Nessus 的判定取決於廠商所報告的套件是否存在。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - qui は qBittorrent インスタンスを管理するためのウェブインターフェースです。バージョン 1.14.1 以降では、任意の生成元を反映する許容的な CORS ポリシーを使用するとともに、Access-Control-Allow-Credentials: true も返します。事実上、外部ウェブページがログインユーザーに代わって認証されたリクエストを行うことが可能になります。攻撃者は、被害者に悪意のあるウェブページを読み込ませることでこれを悪用できます。このウェブページは、被害者のセッションを利用してアプリケーションと密かに通信し、API キーやアカウントの認証情報などの機密データを盗み出す可能性があり、さらには組み込みの外部プログラムマネージャーを通じてシステム全体を乗っ取ることも可能です。悪用するには、被害者が非ローカルホストのホスト名を介してアプリケーションにアクセスし、攻撃者が制御するウェブページを読み込む必要があります。これにより、高度に標的を絞ったソーシャルエンジニアリング攻撃が最も可能性の高い実際のシナリオになります。発表時点での、この問題に関する修正はありません。(CVE-2026-30924)

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

The Linux/Unix host has one or more packages installed that are impacted by a vulnerability without a vendor supplied patch available.

  - qui is a web interface for managing qBittorrent instances. Versions 1.14.1 and below use a permissive CORS     policy that reflects arbitrary origins while also returning Access-Control-Allow-Credentials: true,     effectively allowing any external webpage to make authenticated requests on behalf of a logged-in user. An     attacker can exploit this by tricking a victim into loading a malicious webpage, which silently interacts     with the application using the victim's session and potentially exfiltrating sensitive data such as API     keys and account credentials, or even achieving full system compromise through the built-in External     Programs manager. Exploitation requires that the victim access the application via a non-localhost     hostname and load an attacker-controlled webpage, making highly targeted social-engineering attacks the     most likely real-world scenario. This issue was not fixed at the time of publication. (CVE-2026-30924)

Note that Nessus relies on the presence of the package as reported by the vendor.

ID	Name	Product	Family	Published	Updated	Severity
439248	SCA: security update for github.com/autobrr/qui (GHSA-h8vw-ph9r-xpch)	Tenable Cloud Security	SCA Checks	3/26/2026	7/2/2026	critical
439248	SCA: security update for github.com/autobrr/qui (GHSA-h8vw-ph9r-xpch)	Tenable Self-Hosted Container Security	SCA Checks	3/26/2026	7/2/2026	critical
303457	Linux Distros 未修补的漏洞：CVE-2026-30924	Nessus	Misc.	3/24/2026	9/9/2026	critical
303457	Linux Distros 未修補弱點：CVE-2026-30924	Nessus	Misc.	3/24/2026	9/9/2026	critical
303457	Linux Distros のパッチ未適用の脆弱性: CVE-2026-30924	Nessus	Misc.	3/24/2026	9/9/2026	critical
303457	Linux Distros Unpatched Vulnerability : CVE-2026-30924	Nessus	Misc.	3/24/2026	9/9/2026	critical

Detections

Analytics

Plugins Search

critical

critical

critical

critical

critical

critical