There are packages installed that are affected by a vulnerability referenced in the following CVE:

  - pgx is a PostgreSQL driver and toolkit for Go. Prior to version 5.9.2, SQL injection can occur when the
    non-default simple protocol is used, a dollar quoted string literal is used in the SQL query, that string
    literal contains text that would be would be interpreted as a placeholder outside of a string literal, and
    the value of that placeholder is controllable by the attacker. This issue has been patched in version
    5.9.2. (CVE-2026-41889)

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且廠商未提供可用的修補程式。

  - pgx 是 Go 的 PostgreSQL 驅動程式和工具包。在版本 5.9.2之前，當使用非預設簡單通訊協定、在 SQL 查詢中使用美元引號字串常值、該字串常值包含的文字會解譯為字串常值之外的預留位置時，可能會發生 SQL 插入攻擊，且該預留位置的值可由攻擊者控制。此問題已在 5.9.2 版中修正。(CVE-2026-41889)

請注意，Nessus 的判定取決於廠商所報告的套件是否存在。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - pgx 是适用于 Go 的 PostgreSQL 驱动程序和工具包。在低于该版本 5.9.2之前，当使用非默认简单协议时，在 SQL 查询中使用了美元引用的字符串文本，该字符串文本包含的文本会被解释为字符串文本外部的占位符，并且攻击者可控制该占位符的值。已在版本 5.9.2 中修补此问题。(CVE-2026-41889)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

リモートの SUSE Linux SLED15 / SLED_SAP15 / SLES15 / SLES_SAP15 ホストには、SUSE-SU-2026:2824-1 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    alloy に対するこの更新では、以下の問題を修正しています

    - CVE-2026-10722: github.com/cilium/ebpf: BTF 文字列オフセット境界チェックにより、不正な形式の ELF/BTF 入力を解析するとクラッシュする可能性 (bsc#1267811)。
    - CVE-2026-25680、CVE-2026-25681、CVE-2026-27136、CVE-2026-42502、CVE-2026-42506: golang.org/x/net/html:
    HTML ファイル解析時の複数の問題 (bsc#1267185)。
    - CVE-2026-33532: 深くネストされた YAML ドキュメント解析によるサービス拒否 (bsc#1260981)。
    - CVE-2026-39821: golang.org/x/net/idna: ASCII のみの Punycode でエンコードされたラベルを拒否できないことにより、検証バイパスと権限昇格が可能になります (bsc#1266654)。
    - CVE-2026-39827、CVE-2026-39828、CVE-2026-39829、CVE-2026-39830、CVE-2026-39831、CVE-2026-39832、CVE-2026-39833、CVE-2026-39834、CVE-2026-39835、CVE-2026-42508、CVE-2026-46595、CVE-2026-46597、CVE-2026-46598:
    golang.org/x/crypto/ssh: 複数の問題 (bsc#1266196)。
    - CVE-2026-41889: github.com/jackc/pgx/v5/internal/sanitize: SQL クエリ内のドル引用符付き文字列リテラルでプレースホルダーを使用した場合の SQL インジェクション (bsc#1265440)。
    - CVE-2026-44740: github.com/go-git/go-billy/v5: 多くのコンポーネントで入力が不適切に処理されると、無限ループ、パニック、またはリソース消費を介して DoS が発生する可能性があります (bsc#1267333)。
    - CVE-2026-45678: go.opentelemetry.io/obi: Postgres BIND の解析時に、不正な形式のペイロードを処理するとパニックが発生する可能性があります (bsc#1267481)。
    - CVE-2026-45682: go.opentelemetry.io/obi: 削除後も「CappedConcurrentHashMap」によってキーが削除されないため、接続チャーンを繰り返すことでキューが無制限に増加し、ヒープメモリを使い果たす可能性があります (bsc#1267485)。
    - CVE-2026-45685: go.opentelemetry.io/obi: 不正な形式のワイヤメッセージにより MongoDB TCP パーサーでパニックが発生し、DoS が発生します (bsc#1267488)。
    - CVE-2026-45686: go.opentelemetry.io/obi: memcached テキストプロトコルパーサーの整数オーバーフローにより、OBI プロセスがクラッシュし、サービス拒否が発生する可能性があります (bsc#1267489)。

Tenable は、前述の記述ブロックを SUSE セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - pgx は Go 用の PostgreSQL ドライバーおよびツールキットです。バージョン 5.9.2 より前では、デフォルトでないシンプルプロトコルが使用され、SQL クエリで、ドル引用符で囲まれた文字列リテラルが使用され、その文字列リテラルが文字列リテラル外のプレースホルダーと解釈されるテキストを含んでいて、そのプレースホルダーの値が攻撃者によって制御可能であるときに、SQL インジェクションが発生する可能性があります。この問題には、バージョン 5.9.2 でパッチが適用されています。(CVE-2026-41889)

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

リモートの openSUSE 16 ホストに、複数の脆弱性の影響を受けているパッケージがインストールされています。これらの脆弱性は openSUSE-SU-2026:21251-1 アドバイザリで言及されています。

    バージョン 1.17.0 に更新してください。

    セキュリティの問題を修正:

    - CVE-2026-25680: golang.org/x/net/html: 任意の HTML の解析で CPU 時間が過剰に消費され、サービス拒否が発生する可能性があります (bsc#1267185)。
    - CVE-2026-25681: golang.org/x/net/html: 任意の HTML を解析し、その後 Render を使用してレンダリングすると、予期しない HTML ツリーが生成され、XSS が発生する可能性があります (bsc#1267185)。
    - CVE-2026-27136: golang.org/x/net/html: 任意の HTML を解析し、その後 Render を使用してレンダリングすると、予期しない HTML ツリーが生成され、XSS が発生する可能性があります (bsc#1267185)。
    - CVE-2026-33532: yaml: 深くネスト化したコレクションを含む入力の解析により、スタックオーバーフローが原因で「RangeError」がスローされ、サービス拒否が発生する可能性があります (bsc#1260981)。
    - CVE-2026-39821: golang.org/x/net/idna: ASCII のみの Punycode でエンコードされたラベルを拒否できないことにより、検証バイパスと権限昇格が可能になります (bsc#1266654)。
    - CVE-2026-39827: golang.org/x/crypto/ssh: 認証された SSH クライアントがサーバーによって拒否されたチャネルを繰り返し開くと、無制限のメモリ増加とクラッシュを引き起こす可能性があります (bsc#1266196)。
    - CVE-2026-39828: golang.org/x/crypto/ssh: SSH サーバー認証コールバックが「nil」以外のパーミッションを持つ「PartialSuccessError」を返す場合、パーミッションが破棄されます (bsc#1266196)。
    - CVE-2026-39829: golang.org/x/crypto/ssh: RSA および DSA 公開鍵パーサーによるキーパラメーターのサイズ制限が適用されないため、細工された公開鍵の処理時に過剰な CPU 消費が発生する可能性があります (bsc#1266196)。
    - CVE-2026-39830: golang.org/x/crypto/ssh: 未承諾のグローバルリクエスト応答を送信する悪意のある SSH ピアにより、接続の読み取りループがブロックされ、リソースリークが発生する可能性があります (bsc#1266196)。
    - CVE-2026-39831: golang.org/x/crypto/ssh: FIDO/U2F セキュリティキータイプの「Verify()」メソッドで「User Presence」フラグチェックが欠落しているため、物理的な接触なしで生成された署名が受け入れられます (bsc#1266196)。
    - CVE-2026-39832: golang.org/x/crypto/ssh: キー転送時に宛先制限が暗黙的に削除され、リモートホストでキーを無制限に使用できるようになります (bsc#1266196)。
    - CVE-2026-39833: golang.org/x/crypto/ssh:「NewKeyring()」によって返されるメモリ内キーリングは、「ConfirmBeforeUse」制約付きのキーを暗黙的に受け入れますが、その制約を適用しません (bsc#1266196)。
    - CVE-2026-39834: golang.org/x/crypto/ssh: SSH チャネルでの単一の「Write」呼び出しで 4GB を超えるデータを書き込むと、整数オーバーフローが発生し、空のパケットを送信する無限ループにつながります (bsc#1266196)。
    - CVE-2026-39835: golang.org/x/crypto/ssh: 「IsUserAuthority」または「IsHostAuthority」を設定せずに「CertChecker」を公開鍵コールバックとして使用する SSH サーバーでの証明書処理により、パニックが発生する可能性があります (bsc#1266196)。
    - CVE-2026-41889: github.com/jackc/pgx/v5/internal/sanitize: SQL クエリのドル引用符付き文字列リテラルでプレースホルダーを使用すると、SQL インジェクションが発生する可能性があります (bsc#1265440)。
    - CVE-2026-42502: golang.org/x/net/html: 任意の HTML を解析し、その後 Render を使用してレンダリングすると、予期しない HTML ツリーが生成され、XSS が発生する可能性があります (bsc#1267185)。
    - CVE-2026-42506: golang.org/x/net/html: 任意の HTML を解析し、その後 Render を使用してレンダリングすると、予期しない HTML ツリーが生成され、XSS が発生する可能性があります (bsc#1267185)。
    - CVE-2026-42508: golang.org/x/crypto/ssh: CA に属する取り消された「SignatureKey」の失効チェックが正しく行われません (bsc#1266196)。
    - CVE-2026-44740: github.com/go-git/go-billy/v5: 多くのコンポーネントで入力が不適切に処理されると、無限ループ、パニック、またはリソース消費を介して DoS が発生する可能性があります (bsc#1267333)。
    - CVE-2026-45678: go.opentelemetry.io/obi: Postgres BIND の解析時に、不正な形式のペイロードを処理するとパニックが発生する可能性があります (bsc#1267481)。
    - CVE-2026-45682: go.opentelemetry.io/obi: 削除後も「CappedConcurrentHashMap」によってキーが削除されないため、接続チャーンを繰り返すことでキューが無制限に増加し、ヒープメモリを使い果たす可能性があります (bsc#1267485)。
    - CVE-2026-45685: go.opentelemetry.io/obi: 不正な形式のワイヤメッセージにより MongoDB TCP パーサーでパニックが発生し、DoS が発生します (bsc#1267488)。
    - CVE-2026-45686: go.opentelemetry.io/obi: memcached テキストプロトコルパーサーの整数オーバーフローにより、OBI プロセスがクラッシュし、サービス拒否が発生する可能性があります (bsc#1267489)。
    - CVE-2026-46595: golang.org/x/crypto/ssh: 公開鍵以外のタイプのコールバックが渡された場合、ソースアドレス検証がスキップされます (bsc#1266196)。
    - CVE-2026-46597: golang.org/x/crypto/ssh: 特別に細工された入力の処理時に、AES-GCM パケットデコーダーでバイトから int へのキャストが誤って配置されているため、サーバー側でパニックが発生する可能性があります (bsc#1266196)。
    - CVE-2026-46598: golang.org/x/crypto/ssh: 特定の細工された入力の処理により、不正な形式のワイヤバイトをキャストして作成された「ed25519.PrivateKey」が、使用時にパニックを引き起こす可能性があります (bsc#1266196)。

    その他の更新およびバグ修正:

    - バージョン 1.17.0:
      * 機能
        * GraphQL サーバーおよび「gql」サブコマンドを追加。
        * 「otelcol」: Nginx レシーバーを追加。
        * 「otelcol.exporter.prometheus」: クラシックヒストグラムを NHCB に変換。
        * 「database_observability」: MySQL および Postgres に対するさまざまな拡張。
        * 「faro.receiver」: gzip 圧縮リクエスト本文をサポート。
        * Beyla 3.9.8 に更新。
     * バグ修正
       * security: 「x/crypto」、「x/net」、「jackc/pgx/v5」、および「obi」を更新。
       * cluster: TLS が有効な場合にクラスターへ参加できないノードを修正。
       * 「loki.process」: 潜在的なデッドロックを修正し、ステージシャットダウンを制限。
       * Go を v1.26.4 に更新。
    - バージョン 1.16.3:
      * cluster: TLS が有効な場合にクラスターへ参加できないノードを修正。
    - バージョン 1.16.2:
      *「loki.process」:「stage.truncate」のルールを変更しなくなり、このステージが使用されるとすべての構成更新でパイプラインがリロードされる。
      *「loki.process」: ステージやレシーバーの変更を伴う更新時のデッドロックの可能性。
      *「otelcol.exporter.awss3」: 欠落している「unique_key_func_name」属性を追加。
    - 脆弱な「yaml」ライブラリへの依存関係を削除。

Tenable は、前述の記述ブロックを SUSE セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

The remote SUSE Linux SLED15 / SLED_SAP15 / SLES15 / SLES_SAP15 host has a package installed that is affected by multiple vulnerabilities as referenced in the SUSE-SU-2026:2824-1 advisory.

    This update for alloy fixes the following issues

    - CVE-2026-10722: github.com/cilium/ebpf: BTF string offset boundary check can lead to crash when parsing     malformed ELF/BTF input (bsc#1267811).
    - CVE-2026-25680,CVE-2026-25681,CVE-2026-27136,CVE-2026-42502,CVE-2026-42506: golang.org/x/net/html:
    multiple issues when parsing HTML files (bsc#1267185).
    - CVE-2026-33532: Denial of Service via deeply nested YAML document parsing (bsc#1260981).
    - CVE-2026-39821: golang.org/x/net/idna: failure to reject ASCII-only Punycode-encoded labels allows for     validation bypass and privilege escalation (bsc#1266654).
    - CVE-2026-39827,CVE-2026-39828,CVE-2026-39829,CVE-2026-39830,CVE-2026-39831,CVE-2026-39832,CVE-2026-     39833,CVE-2026-39834,CVE-2026-39835,CVE-2026-42508,CVE-2026-46595,CVE-2026-46597,CVE-2026-46598:
    golang.org/x/crypto/ssh: multiple issues (bsc#1266196).
    - CVE-2026-41889: github.com/jackc/pgx/v5/internal/sanitize: SQL injection when placeholders in dollar-     quoted string literals are used in the SQL query (bsc#1265440).
    - CVE-2026-44740: github.com/go-git/go-billy/v5: improper input handling in many components can lead to     DoS via infinite loops, panics or resource consumption (bsc#1267333).
    - CVE-2026-45678: go.opentelemetry.io/obi: Postgres BIND parsing can lead to a panic when malformed     payloads are processed (bsc#1267481).
    - CVE-2026-45682: go.opentelemetry.io/obi: keys not deleted by `CappedConcurrentHashMap` after removals     allows repeated connection churn to grow the queue without bound and exhaust heap memory (bsc#1267485).
    - CVE-2026-45685: go.opentelemetry.io/obi: MongoDB TCP parser panics on malformed wire messages and causes     a DoS (bsc#1267488).
    - CVE-2026-45686: go.opentelemetry.io/obi: integer overflow in memcached text protocol parser can crash     the OBI process and cause denial of service (bsc#1267489).

Tenable has extracted the preceding description block directly from the SUSE security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

The Linux/Unix host has one or more packages installed that are impacted by a vulnerability without a vendor supplied patch available.

  - pgx is a PostgreSQL driver and toolkit for Go. Prior to version 5.9.2, SQL injection can occur when the     non-default simple protocol is used, a dollar quoted string literal is used in the SQL query, that string     literal contains text that would be would be interpreted as a placeholder outside of a string literal, and     the value of that placeholder is controllable by the attacker. This issue has been patched in version     5.9.2. (CVE-2026-41889)

Note that Nessus relies on the presence of the package as reported by the vendor.

The remote openSUSE 16 host has a package installed that is affected by multiple vulnerabilities as referenced in the openSUSE-SU-2026:21251-1 advisory.

    Update to version 1.17.0.

    Security issues fixed:

    - CVE-2026-25680: golang.org/x/net/html: parsing arbitrary HTML can consume excessive CPU time, possibly     leading to       denial of service (bsc#1267185).
    - CVE-2026-25681: golang.org/x/net/html: parsing arbitrary HTML which is then rendered using Render can     result in an       unexpected HTML tree and allows for XSS (bsc#1267185).
    - CVE-2026-27136: golang.org/x/net/html: parsing arbitrary HTML which is then rendered using Render can     result in an       unexpected HTML tree and allows for XSS (bsc#1267185).
    - CVE-2026-33532: yaml: parsing input with deeply nestes collections may throw a `RangeError` due to a     stack overflow       and cause to a denial of service (bsc#1260981).
    - CVE-2026-39821: golang.org/x/net/idna: failure to reject ASCII-only Punycode-encoded labels allows for     validation       bypass and privilege escalation (bsc#1266654).
    - CVE-2026-39827: golang.org/x/crypto/ssh: authenticated SSH clients that repeatedly open channels which     were rejected       by the server can cause unbounded memory growth and a crash (bsc#1266196).
    - CVE-2026-39828: golang.org/x/crypto/ssh: permissions discarded when an SSH server authentication     callback returns       `PartialSuccessError` with non-`nil` permissions (bsc#1266196).
    - CVE-2026-39829: golang.org/x/crypto/ssh: unenforced size limits on key parameters by the the RSA and DSA     public key       parsers can lead to excessive CPU consumption when processing a crafted public key (bsc#1266196).
    - CVE-2026-39830: golang.org/x/crypto/ssh: malicious SSH peers sending unsolicited global request     responses can block a       connection's read loop and cause a resource leak (bsc#1266196).
    - CVE-2026-39831: golang.org/x/crypto/ssh: missing `User Presence` flag checks in the `Verify()` method     for FIDO/U2F       security key types cause signatures generated without physical touch to be accepted (bsc#1266196).
    - CVE-2026-39832: golang.org/x/crypto/ssh: destination restrictions are silently stripped when forwarding     keys and       allow for unrestricted use of a key on a remote host (bsc#1266196).
    - CVE-2026-39833: golang.org/x/crypto/ssh: in-memory keyring returned by `NewKeyring()` silently accepts     keys with the       `ConfirmBeforeUse` constraint but never enforces it (bsc#1266196).
    - CVE-2026-39834: golang.org/x/crypto/ssh: writing data larger than 4GB in a single `Write` call on an SSH     channel       leads to an integer overflow and an infinite loop that sends empty packets (bsc#1266196).
    - CVE-2026-39835: golang.org/x/crypto/ssh: processing of certificates by SSH servers using `CertChecker`     as a public       key callback without setting `IsUserAuthority` or `IsHostAuthority` can lead to a panic (bsc#1266196).
    - CVE-2026-41889: github.com/jackc/pgx/v5/internal/sanitize: use placeholders in dollar-quoted string     literals in an       SQL query can lead to a SQL injection (bsc#1265440).
    - CVE-2026-42502: golang.org/x/net/html: parsing arbitrary HTML which is then rendered using Render can     result in an       unexpected HTML tree and allows for XSS (bsc#1267185).
    - CVE-2026-42506: golang.org/x/net/html: parsing arbitrary HTML which is then rendered using Render can     result in an       unexpected HTML tree and allows for XSS (bsc#1267185).
    - CVE-2026-42508: golang.org/x/crypto/ssh: revoked `SignatureKey`s belonging to a CA are not correctly     checked for       revocation (bsc#1266196).
    - CVE-2026-44740: github.com/go-git/go-billy/v5: improper input handling in many components can lead to     DoS via       infinite loops, panics or resource consumption (bsc#1267333).
    - CVE-2026-45678: go.opentelemetry.io/obi: Postgres BIND parsing can lead to a panic when malformed     payloads are       processed (bsc#1267481).
    - CVE-2026-45682: go.opentelemetry.io/obi: keys not deleted by `CappedConcurrentHashMap` after removals     allows repeated       connection churn to grow the queue without bound and exhaust heap memory (bsc#1267485).
    - CVE-2026-45685: go.opentelemetry.io/obi: MongoDB TCP parser panics on malformed wire messages and causes     a DoS       (bsc#1267488).
    - CVE-2026-45686: go.opentelemetry.io/obi: integer overflow in memcached text protocol parser can crash     the OBI process       and cause denial of service (bsc#1267489).
    - CVE-2026-46595: golang.org/x/crypto/ssh: source-address validation is skipped if any other type of     callback is passed       other than public key (bsc#1266196).
    - CVE-2026-46597: golang.org/x/crypto/ssh: incorrectly placed cast from bytes to int in the AES-GCM packet     decoder when       processing specially crafted input can lead to for server-side panic (bsc#1266196).
    - CVE-2026-46598: golang.org/x/crypto/ssh: `ed25519.PrivateKey` created by casting malformed wire bytes     due to       processing of certain crafted inputs can lead to panic when used (bsc#1266196).

    Other updates and bugfixes:

    - Version 1.17.0:
      * Features
        * Add GraphQL server and `gql` subcommand.
        * `otelcol`: Add Nginx receiver.
        * `otelcol.exporter.prometheus`: Convert classic histograms to NHCB.
        * `database_observability`: Various enhancements for MySQL and Postgres.
        * `faro.receiver`: Support gzip-compressed request bodies.
        * Update to Beyla 3.9.8.
     * Bug Fixes
       * security: Update `x/crypto`, `x/net`, `jackc/pgx/v5`, and `obi`.
       * cluster: Fix nodes failing to join the cluster with TLS enabled.
       * `loki.process`: Fix potential deadlocks and limit stage shutdown.
       * Update Go to v1.26.4.
    - Version 1.16.3:
      * cluster: Fix nodes failing to join the cluster when TLS is enabled.
    - Version 1.16.2:
      * `loki.process`: No longer mutate rules in `stage.truncate` causing every config update to reload     pipeline when this         stage is used.
      * `loki.process`: Potential deadlock on update with stage and receiver changes.
      * `otelcol.exporter.awss3`: Add missing `unique_key_func_name` attribute.
    - Remove dependency on vulnerable `yaml` library.

Tenable has extracted the preceding description block directly from the SUSE security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

ID	Name	Product	Family	Published	Updated	Severity
440744	SCA: security update for github.com/jackc/pgx/v5 (GHSA-j88v-2chj-qfwx)	Tenable Cloud Security	SCA Checks	4/23/2026	7/2/2026	low
440744	SCA: security update for github.com/jackc/pgx/v5 (GHSA-j88v-2chj-qfwx)	Tenable Self-Hosted Container Security	SCA Checks	4/23/2026	7/2/2026	low
313432	Linux Distros 未修補弱點：CVE-2026-41889	Nessus	Misc.	5/8/2026	7/30/2026	low
313432	Linux Distros 未修补的漏洞：CVE-2026-41889	Nessus	Misc.	5/8/2026	7/30/2026	low
326329	SUSE SLED15 / SLES15 セキュリティ更新 : alloy (SUSE-SU-2026:2824-1)	Nessus	SuSE Local Security Checks	7/10/2026	7/13/2026	medium
313432	Linux Distros のパッチ未適用の脆弱性: CVE-2026-41889	Nessus	Misc.	5/8/2026	7/30/2026	low
326022	openSUSE 16 セキュリティ更新 : alloy (openSUSE-SU-2026:21251-1)	Nessus	SuSE Local Security Checks	7/9/2026	7/9/2026	low
326329	SUSE SLED15 / SLES15 Security Update : alloy (SUSE-SU-2026:2824-1)	Nessus	SuSE Local Security Checks	7/10/2026	7/13/2026	medium
313432	Linux Distros Unpatched Vulnerability : CVE-2026-41889	Nessus	Misc.	5/8/2026	7/30/2026	low
326022	openSUSE 16 Security Update : alloy (openSUSE-SU-2026:21251-1)	Nessus	SuSE Local Security Checks	7/9/2026	7/9/2026	low

Detections

Analytics

Plugins Search

low

low

low

low

medium

low

low

medium

low

low