There are packages installed that are affected by a vulnerability referenced in the following CVE:

  - linkify-it is a links recognition library with full Unicode support. Prior to 5.0.1,
    LinkifyIt.prototype.match, the package's primary public API, has O(N²) algorithmic complexity for inputs
    containing many fuzzy links or emails because the JavaScript-level scan loop re-slices input and re-runs
    unanchored regex searches on progressively shorter tails. Any service that synchronously renders untrusted
    Markdown with linkify:true on a request hot path can inherit a worker-process denial of service
    triggerable by a tens-of-KB request body. This issue is fixed in version 5.0.1. (CVE-2026-48801)

遠端 Redhat Enterprise Linux 10 主機上安裝的套件受到 RHSA-2026:57590 公告中提及的多個弱點影響。

    Podman Desktop 的 Red Hat 組建是使用 Podman 管理容器的圖形工具。它允許使用者使用桌面 GUI 執行、管理和設定容器和容器映像。

    安全性修正：

    * github.com/go-jose/go-jose/v3：github.com/go-jose/go-jose/v4：Go JOSE：透過特製的 JSON Web 加密 （JWE） 物件 （CVE-2026-34986） 造成拒絕服務

    * ip-address：ip-address：透過不當的 HTML 逸出不受信任輸入的跨網站指令碼 (CVE-2026-42338)

    * protobufjs： protobufjs：透過特製的 JSON 描述元造成拒絕服務 （CVE-2026-45740）

    * ws： ws：透過 'websocket.close（）' 和 'TypedArray' （CVE-2026-45736） 造成未初始化的記憶體洩漏

    * devalue： devalue：透過疏鬆陣列的反序列化造成過多的記憶體消耗 （CVE-2026-42570）

    * tmp：透過未清理的前綴/後綴進行路徑遊走，可啟用目錄逸出 （CVE-2026-44705）

    * form-data： form-data：透過 CRLF 插入 （CVE-2026-12143） 覆寫表單欄位

    * webpack-dev-server： webpack-dev-server： 透過不當的 Proxy 設定造成資訊洩露和拒絕服務 （CVE-2026-9595）

    * ws： ws：透過小型 WebSocket 片段 （CVE-2026-48779） 耗盡記憶體而造成拒絕服務

    * extract-zip： github.com/maxogden/extract-zip： extract-zip： 透過符號連結驗證繞過 （CVE-2026-56876） 進行任意檔案寫入和資訊洩露

    * fast-uri： fast-uri： 由於不正確的 Unicode 主機名稱規範化而導致的安全策略繞過 （CVE-2026-13676）

    * brace-expansion： brace-expansion：由於指數時間複雜度而導致的拒絕服務 （CVE-2026-13149）

    * tar： Node-tar：透過格式錯誤的 tar 封存標頭 （CVE-2026-59874） 造成拒絕服務

    * tar： node-tar：透過特製的 gzip 炸彈進行拒絕服務 （CVE-2026-59873）

    * js-yaml： js-yaml： 透過特製的 YAML 文件 （CVE-2026-59869） 造成拒絕服務

    * protobufjs： protobufjs：透過特製的 .proto 結構描述 （CVE-2026-59877） 造成拒絕服務

    * grpc-js： @grpc/grpc-js： 透過格式錯誤的 HTTP/2 資料流啟動導致伺服器損毀 （CVE-2026-48068）

    * linkify-it： linkify-it： 透過演算法複雜性弱點造成拒絕服務 （CVE-2026-48801）

    * dompurify： DOMPurify： 跨網站指令碼弱點允許程式碼執行 （CVE-2026-49978）

    * brace-expansion： Brace-expansion：透過 expand（） 函式 （CVE-2026-14257） 中的記憶體耗盡造成拒絕服務

    * postcss： PostCSS：透過特製的 CSS 輸入 （CVE-2026-45623） 進行資訊洩露和拒絕服務

    * postcss： PostCSS：透過特製的 sourceMappingURL （CVE-2026-69153） 進行資訊洩露

    * brace-expansion：透過無限中間陣列的 DoS，繞 CVE-2026-14257 過緩解 （CVE-2026-69152）

    * ip-address： ip-address：不一致的 IP 位址剖析會導致伺服器端要求偽造 （SSRF） 和信任邊界繞過 （CVE-2026-69192）

    錯誤修正和增強功能：

    * 將 RH Podman Desktop 1.1.2 發佈至 RHEL 10.2 擴充功能 （JIRA：RHEL-238929）

    如需安全性問題的詳細資料，包括影響、CVSS 評分、致謝及其他相關資訊，請參閱〈參照〉一節列出的 CVE 頁面。

Tenable 已直接從 Red Hat Enterprise Linux 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且廠商未提供可用的修補程式。

  - linkify-it 是一個具有完整 Unicode 支持的鏈接識別庫。在 5.0.1之前，該套件的主要公共 API LinkifyIt.prototype.match 對於包含許多模糊連結或電子郵件的輸入具有 O（N） 演算法複雜度，因為 JavaScript 級掃描迴圈會重新切片輸入並在逐漸變短的尾部重新執行非錨定的正則運算式搜尋。任何在要求熱路徑上使用 linkify：true 同步轉譯不受信任 Markdown 的服務，都可以繼承可由數十 KB 要求內文觸發的工作程序拒絕服務。5.0.1 版已修正此問題。(CVE-2026-48801)

請注意，Nessus 的判定取決於廠商所報告的套件是否存在。

远程 Redhat Enterprise Linux 10 主机上安装的程序包受到 RHSA-2026:57590 公告中提及的多个漏洞影响。

    Red Hat Podman Desktop 版本是使用 Podman 管理容器的图形工具。它允许用户使用桌面 GUI 运行、管理和配置容器及容器图像。

    安全修复：

    * github.com/go-jose/go-jose/v3：github.com/go-jose/go-jose/v4： Go JOSE：通过构建的 JSON Web 加密 （JWE） 对象 （CVE-2026-34986） 造成的拒绝服务

    * ip-address：ip-address：通过对不受信任的输入进行不当 HTML 转义造成跨站脚本 (CVE-2026-42338)

    * protobufjs： protobufjs：通过构建的 JSON 描述符造成的拒绝服务 （CVE-2026-45740）

    * ws： ws：通过包含“TypedArray”（CVE-2026-45736） 的“websocket.close（）”泄露未初始化的内存

    * devalue： devalue：通过反序列化稀疏数组 （CVE-2026-42570） 消耗过量内存

    * tmp：通过未清理的前缀/后缀进行路径遍历，启用目录转义 （CVE-2026-44705）

    * form-data： form-data：通过 CRLF 注入 （CVE-2026-12143） 实现表单字段替代

    * webpack-dev-server： webpack-dev-server： 通过不当代理配置造成的信息泄露和拒绝服务 （CVE-2026-9595）

    * ws： ws：通过小 WebSocket 片段 （CVE-2026-48779） 耗尽内存导致的拒绝服务

    * extract-zip：github.com/maxogden/extract-zip：extract-zip：通过符号链接验证绕过 （CVE-2026-56876） 进行任意文件写入和信息泄露

    * fast-uri： fast-uri：由于不正确的 Unicode 主机名规范化而导致的安全策略绕过 （CVE-2026-13676）

    * brace-expansion： brace-expansion： 指数时间复杂性造成的拒绝服务 （CVE-2026-13149）

    * tar：Node-tar：通过畸形 tar 存档标头 （CVE-2026-59874） 造成的拒绝服务

    * tar：node-tar：通过构建的 gzip 炸弹造成拒绝服务 （CVE-2026-59873）

    * js-yaml： js-yaml： 通过构建的 YAML 文档造成拒绝服务 （CVE-2026-59869）

    * protobufjs： protobufjs： 通过构建的 .proto 模式 （CVE-2026-59877） 造成拒绝服务

    * grpc-js：@grpc/grpc-js：通过畸形 HTTP/2 流初始化造成服务器崩溃 （CVE-2026-48068）

    * linkify-it： linkify-it： 通过算法复杂性拒绝服务漏洞 （CVE-2026-48801）

    * dompurify： DOMPurify： 跨站脚本漏洞允许代码执行 （CVE-2026-49978）

    * brace-expansion： brace-expansion： 通过 expand（） 函数 （CVE-2026-14257） 中的内存耗尽造成拒绝服务

    * postcss： PostCSS： 通过构建的 CSS 输入 （CVE-2026-45623） 导致的信息泄露和拒绝服务

    * postcss： PostCSS：通过构建的 sourceMappingURL （CVE-2026-69153） 造成信息泄露

    * 大括号扩展：通过不受限制的中间数组造成的 DoS，绕过 CVE-2026-14257 缓解措施 （CVE-2026-69152）

    * ip-address： ip-address：不一致的 IP 地址解析导致服务器端请求伪造 （SSRF） 和信任边界绕过 （CVE-2026-69192）

    错误修复和增强功能：

    * 将 RH Podman Desktop 1.1.2 发布到 RHEL 10.2 扩展 （JIRA：RHEL-238929）

    有关上述安全问题的更多详细信息，包括其影响、CVSS 得分、致谢，以及其他相关信息，请参阅列于“参考”部分的 CVE 页面。

Tenable 已直接从 Red Hat Enterprise Linux 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - linkify-it 是一个链接识别库，具有完整的 Unicode 支持。在低于 5.0.1、程序包的主要公共 API LinkifyIt.prototype.match 之前，由于 JavaScript 级别的扫描循环会重新切片输入，并在逐渐变短的末尾重新运行非锚定 regex 搜索，因此程序包的主要公共 API LinkifyIt.prototype.match 对于包含许多模糊链接或电子邮件的输入具有 O（N） 算法复杂度。任何在请求热路径上使用 linkify：true 同步呈现不受信任的 Markdown 的服务，都可以继承可由数十 KB 请求正文触发的工作进程拒绝服务。此问题已在 5.0.1 版本中修复。(CVE-2026-48801)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

リモート Redhat Enterprise Linux 10 ホストに、RHSA-2026:57590 アドバイザリに記載されている複数の脆弱性の影響を受けるパッケージがインストールされています。

    Podman DesktopのRed Hatビルドは、Podmanを使用してコンテナを管理するグラフィカルツールです。これにより、ユーザーはデスクトップ GUI を使用してコンテナとコンテナイメージを実行、管理、および構成できます。

    セキュリティ修正:

    * github.com/go-jose/go-jose/v3: github.com/go-jose/go-jose/v4: Go JOSE: 細工された JSON Web Encryption (JWE) オブジェクトによるサービス拒否 (CVE-2026-34986)

    * ip-address: ip-address: 信頼できない入力の不適切な HTML エスケープによるクロスサイトスクリプティング (CVE-2026-42338)

    * protobufjs:protobufjs:細工された JSON 記述子によるサービス拒否(CVE-2026-45740)

    * ws:ws: 「TypedArray」を伴う「websocket.close()」による初期化されていないメモリの漏洩(CVE-2026-45736)

    * devalue: devalue: スパース配列の逆シリアル化による過剰なメモリ消費(CVE-2026-42570)

    * tmp:サニタイズされていないプレフィックス/ポストフィックスによるパストラバーサルにより、ディレクトリエスケープが可能になります(CVE-2026-44705)

    * form-data: form-data: CRLF インジェクションによるフォームフィールドオーバーライド(CVE-2026-12143)

    * webpack-dev-server: webpack-dev-server: 不適切なプロキシ構成による情報漏洩とサービス拒否(CVE-2026-9595)

    * ws:ws:小さな WebSocket フラグメントからのメモリ枯渇によるサービス拒否(CVE-2026-48779)

    * extract-zip:github.com/maxogden/extract-zip:extract-zip:シンボリックリンク検証バイパスによる任意のファイル書き込みと情報漏洩(CVE-2026-56876)

    * fast-uri: fast-uri:不適切な Unicode ホスト名正規化によるセキュリティポリシーバイパス(CVE-2026-13676)

    * brace-expansion: brace-expansion:指数関数的な時間の複雑さによるサービス拒否(CVE-2026-13149)

    * tar:Node-tar:無効な形式の tar アーカイブヘッダーによるサービス拒否(CVE-2026-59874)

    * tar:node-tar:細工された gzip 爆弾によるサービス拒否(CVE-2026-59873)

    * js-yaml: js-yaml:細工された YAML ドキュメントによるサービス拒否(CVE-2026-59869)

    * protobufjs: protobufjs:細工された .proto スキーマによるサービス拒否(CVE-2026-59877)

    * grpc-js:@grpc/grpc-js:無効な形式の HTTP/2 ストリームの開始によるサーバーのクラッシュ(CVE-2026-48068)

    * linkify-it: linkify-it:アルゴリズム複雑性の脆弱性によるサービス拒否(CVE-2026-48801)

    * dompurify:DOMPurify:コード実行を可能にするクロスサイトスクリプティングの脆弱性(CVE-2026-49978)

    * brace-expansion:brace-expansion:expand() 関数でのメモリ枯渇によるサービス拒否(CVE-2026-14257)

    * postcss:PostCSS:細工された CSS 入力からの情報漏洩とサービス拒否(CVE-2026-45623)

    * postcss:PostCSS:細工された sourceMappingURL による情報漏洩(CVE-2026-69153)

    * brace-expansion:制限のない中間配列を介したDoS、 CVE-2026-14257 緩和策のバイパス(CVE-2026-69152)

    * ip-address: ip-address:一貫性のないIPアドレス解析により、サーバーサイドリクエストフォージェリ(SSRF)と信頼境界バイパス(CVE-2026-69192)が発生

    バグ修正と拡張機能:

    * RH Podman Desktop 1.1.2 をRHEL 10.2 Extensionsにリリース(JIRA:RHEL-238929)

    影響、CVSS スコア、謝辞、その他の関連情報を含むセキュリティ問題の詳細については、「参照」セクションに記載されている CVE のページを参照してください。

Tenable は、前述の記述ブロックを Red Hat Enterprise Linux セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートの Fedora 44 ホストには、FEDORA-2026-7c23b06d74 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    セキュリティリリース:linkify が有効な場合、「LinkifyIt.match()」は信頼できない入力の 2 次になりました([GHSA-8m2q-wq3r-6hq8](https://github.com/tsutsu3/linkify-it-py/security/advisories/GHSA-8m2q-wq3r-6hq8))。

    - linkify-it 5.0.1 と 5.0.2 のポートである「LinkifyIt.match()」の二次複雑度を修正します(upstream [CVE-2026-48801](https://github.com/advisories/GHSA-22p9-wv53-3rq4)、[CVE-2026-59887](https://github.com/advisories/GHSA-v245-v573-v5vm))([#82](https://github.com/tsutsu3/linkify-it-py/pull/82))
    - 末尾をスライスする代わりに、ある位置でバリデーターを一致させます。これは、Python 3.10 が「^」アンカーを最適化しないため必要です([#82](https://github.com/tsutsu3/linkify-it-py/pull/82))
    - linkify-it に一致する電子メール名の「;」を許可します。**動作の変更**:「a;b@example.com」がリンクされるようになりました([#82](https://github.com/tsutsu3/linkify-it-py/pull/82))
    - port.ymlを更新(linkify-it v5.0.2)([#82](https://github.com/tsutsu3/linkify-it-py/pull/82))


Tenable は、前述の記述ブロックを Fedora セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - linkify-it は、Unicode を完全にサポートするリンク認識ライブラリです。5.0.1より前のバージョンでは、パッケージの主要な公開 API である LinkifyIt.prototype.match は、JavaScript レベルのスキャンループが入力を再スライスし、徐々に短い末尾でアンカーされていない正規表現検索を再実行するため、多数のファジーリンクまたは電子メールを含む入力では O(N) アルゴリズム複雑性があります。リクエストホットパスのlinkify:trueを使用して信頼できないMarkdownを同期的にレンダリングするサービスは、数十KBのリクエスト本文によってトリガー可能なワーカープロセスのサービス拒否を継承する可能性があります。この問題はバージョン 5.0.1 で修正されています。(CVE-2026-48801)

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

The remote Redhat Enterprise Linux 10 host has a package installed that is affected by multiple vulnerabilities as referenced in the RHSA-2026:57590 advisory.

    Red Hat build of Podman Desktop is a graphical tool for managing containers using Podman. It allows users     to run, manage, and configure containers and container images using a desktop GUI.

    Security Fix(es):

    * github.com/go-jose/go-jose/v3: github.com/go-jose/go-jose/v4: Go JOSE: Denial of Service via crafted     JSON Web Encryption (JWE) object (CVE-2026-34986)

    * ip-address: ip-address: Cross-site scripting via improper HTML escaping of untrusted input     (CVE-2026-42338)

    * protobufjs: protobufjs: Denial of Service via crafted JSON descriptors (CVE-2026-45740)

    * ws: ws: Uninitialized memory disclosure via `websocket.close()` with `TypedArray` (CVE-2026-45736)

    * devalue: devalue: Excessive memory consumption via deserialization of sparse arrays (CVE-2026-42570)

    * tmp: path Traversal via unsanitized prefix/postfix enables directory escape (CVE-2026-44705)

    * form-data: form-data: Form field override via CRLF injection (CVE-2026-12143)

    * webpack-dev-server: webpack-dev-server: Information disclosure and denial of service via improper proxy     configuration (CVE-2026-9595)

    * ws: ws: Denial of Service via memory exhaustion from small WebSocket fragments (CVE-2026-48779)

    * extract-zip: github.com/maxogden/extract-zip: extract-zip: Arbitrary file write and information     disclosure via symlink validation bypass (CVE-2026-56876)

    * fast-uri: fast-uri: Security policy bypass due to improper Unicode hostname canonicalization     (CVE-2026-13676)

    * brace-expansion: Brace-expansion: Denial of Service due to exponential-time complexity (CVE-2026-13149)

    * tar: Node-tar: Denial of Service via malformed tar archive header (CVE-2026-59874)

    * tar: node-tar: Denial of Service via crafted gzip bomb (CVE-2026-59873)

    * js-yaml: js-yaml: Denial of Service via crafted YAML documents (CVE-2026-59869)

    * protobufjs: protobufjs: Denial of Service via crafted .proto schema (CVE-2026-59877)

    * grpc-js: @grpc/grpc-js: Server crash via malformed HTTP/2 stream initiation (CVE-2026-48068)

    * linkify-it: linkify-it: Denial of Service via algorithmic complexity vulnerability (CVE-2026-48801)

    * dompurify: DOMPurify: Cross-site scripting vulnerability allows code execution (CVE-2026-49978)

    * brace-expansion: Brace-expansion: Denial of Service via memory exhaustion in expand() function     (CVE-2026-14257)

    * postcss: PostCSS: Information disclosure and denial of service via crafted CSS input (CVE-2026-45623)

    * postcss: PostCSS: Information disclosure via crafted sourceMappingURL (CVE-2026-69153)

    * brace-expansion: DoS via unbounded intermediate arrays, bypassing the CVE-2026-14257 mitigation     (CVE-2026-69152)

    * ip-address: ip-address: Inconsistent IP address parsing leads to Server-Side Request Forgery (SSRF) and     trust-boundary bypass (CVE-2026-69192)

    Bug Fix(es) and Enhancement(s):

    * Release RH Podman Desktop 1.1.2 to RHEL 10.2 Extensions (JIRA:RHEL-238929)

    For more details about the security issue(s), including the impact, a CVSS score, acknowledgments, and     other related information, refer to the CVE page(s) listed in the References section.

Tenable has extracted the preceding description block directly from the Red Hat Enterprise Linux security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

The remote Fedora 44 host has a package installed that is affected by multiple vulnerabilities as referenced in the FEDORA-2026-7c23b06d74 advisory.

    Security release: `LinkifyIt.match()` was quadratic on untrusted input when linkify is enabled     ([GHSA-8m2q-wq3r-6hq8](https://github.com/tsutsu3/linkify-it-py/security/advisories/GHSA-8m2q-wq3r-6hq8)).

    - Fix quadratic complexity in `LinkifyIt.match()`, port of linkify-it 5.0.1 and 5.0.2 (upstream     [CVE-2026-48801](https://github.com/advisories/GHSA-22p9-wv53-3rq4),     [CVE-2026-59887](https://github.com/advisories/GHSA-v245-v573-v5vm))     ([#82](https://github.com/tsutsu3/linkify-it-py/pull/82))
    - Match validators at a position instead of slicing the tail, needed because Python 3.10 does not optimize     the `^` anchor ([#82](https://github.com/tsutsu3/linkify-it-py/pull/82))
    - Allow `;` in the email name, matching linkify-it. **Behavior change**: `a;b@example.com` is now     linkified ([#82](https://github.com/tsutsu3/linkify-it-py/pull/82))
    - Update port.yml (linkify-it v5.0.2) ([#82](https://github.com/tsutsu3/linkify-it-py/pull/82))


Tenable has extracted the preceding description block directly from the Fedora security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

The Linux/Unix host has one or more packages installed that are impacted by a vulnerability without a vendor supplied patch available.

  - linkify-it is a links recognition library with full Unicode support. Prior to 5.0.1,     LinkifyIt.prototype.match, the package's primary public API, has O(N) algorithmic complexity for inputs     containing many fuzzy links or emails because the JavaScript-level scan loop re-slices input and re-runs     unanchored regex searches on progressively shorter tails. Any service that synchronously renders untrusted     Markdown with linkify:true on a request hot path can inherit a worker-process denial of service     triggerable by a tens-of-KB request body. This issue is fixed in version 5.0.1. (CVE-2026-48801)

Note that Nessus relies on the presence of the package as reported by the vendor.

ID	Name	Product	Family	Published	Updated	Severity
444079	SCA: security update for linkify-it (GHSA-22p9-wv53-3rq4)	Tenable Cloud Security	SCA Checks	6/27/2026	9/3/2026	high
444079	SCA: security update for linkify-it (GHSA-22p9-wv53-3rq4)	Tenable Self-Hosted Container Security	SCA Checks	6/27/2026	9/3/2026	high
338414	RHEL 10 ： rh-podman-desktop （RHSA-2026:57590）	Nessus	Red Hat Local Security Checks	8/20/2026	8/20/2026	critical
327142	Linux Distros 未修補弱點：CVE-2026-48801	Nessus	Misc.	7/16/2026	9/14/2026	high
338414	RHEL 10：rh-podman-desktop （RHSA-2026:57590）	Nessus	Red Hat Local Security Checks	8/20/2026	8/20/2026	critical
327142	Linux Distros 未修补的漏洞：CVE-2026-48801	Nessus	Misc.	7/16/2026	9/14/2026	high
338414	RHEL 10:rh-podman-desktop(RHSA-2026:57590)	Nessus	Red Hat Local Security Checks	8/20/2026	8/20/2026	critical
342283	Fedora 44:python-linkify-it-py(2026-7c23b06d74)	Nessus	Fedora Local Security Checks	9/2/2026	9/3/2026	high
327142	Linux Distros のパッチ未適用の脆弱性: CVE-2026-48801	Nessus	Misc.	7/16/2026	9/14/2026	high
338414	RHEL 10 : rh-podman-desktop (RHSA-2026:57590)	Nessus	Red Hat Local Security Checks	8/20/2026	8/20/2026	critical
342283	Fedora 44 : python-linkify-it-py (2026-7c23b06d74)	Nessus	Fedora Local Security Checks	9/2/2026	9/3/2026	high
327142	Linux Distros Unpatched Vulnerability : CVE-2026-48801	Nessus	Misc.	7/16/2026	9/14/2026	high

Detections

Analytics

Plugins Search

high

high

critical

high

critical

high

critical

high

high

critical

high

high