Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且廠商未提供可用的修補程式。

  - websocket-driver 是具有可插拔 I/O 的 WebSocket 通訊協定處理常式。 0.7.5之前 ，如果此程式庫與 permessage-deflate 延伸搭配使用，則可以讓 WebSocket 伺服器或用戶端接受大於所設定訊息大小上限的訊息，因為會根據訊息框架的長度標頭檢查限制，這會提供壓縮資料的大小， 不是 lib/websocket/driver/hybi.js 中解壓縮後的大小。這可能導致應用程式接受比預期更大的訊息，並超出其預期的資源使用量。0.7.5 版已修正此問題。(CVE-2026-54490)

請注意，Nessus 的判定取決於廠商所報告的套件是否存在。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - websocket-driver 是具有可插拔 I/O 的 WebSocket 协议处理程序。 在 之前 0.7.5，如果此库与 permessage-deflate 扩展一起使用，则可使 WebSocket 服务器或客户端接受大于已配置消息大小上限的消息，因为会针对消息帧的长度标头（其给出压缩数据的大小）检查限制。 不是 lib/websocket/driver/hybi.js 中解压缩后的大小。这可导致应用程序接受比预期更大的消息，并且超过其预期的资源使用量。此问题已在 0.7.5 版本中修复。(CVE-2026-54490)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - websocket-driver は、プラグ可能な I/O を備えた WebSocket プロトコルハンドラーです。 0.7.5 より前では、このライブラリを permessage-deflate 拡張と共に使用すると、WebSocket サーバーまたはクライアントは構成された最大メッセージサイズを超えるメッセージを受け入れることができます。これは、圧縮データのサイズを示すメッセージフレームの長さのヘッダーに対して制限がチェックされるためです。 lib/websocket/driver/hybi.js の展開後のサイズではありません。これにより、アプリケーションが予想よりも大きなメッセージを受け入れ、意図したリソース使用量を超える可能性があります。この問題はバージョン 0.7.5 で修正されています。(CVE-2026-54490)

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

The remote openSUSE 16 host has a package installed that is affected by multiple vulnerabilities as referenced in the openSUSE-SU-2026:21448-1 advisory.

    - CVE-2025-7783: form-data: unsafe `Math.random()` function is used to select a boundary value for     multipart       form-encoded data (bsc#1246822).
    - CVE-2026-12143: form-data: CRLF injection via unescaped multipart field names and filenames     (bsc#1272310).
    - CVE-2026-13149: brace-expansion: `expand()` function exhibits exponential-time complexity when     processing       non-expanding `{}` brace groups (bsc#1269927).
    - CVE-2026-13311: shell-quote: quadratic complexity in `parse()` function when processing specially     crafted strings       (bsc#1269359).
    - CVE-2026-13676: fast-uri: host-based policy bypass due to failure to canonicalize Unicode/IDN hostnames     for       HTTP-family URLs (bsc#1269595).
    - CVE-2026-27601: underscore: DoS via stack overflow due to missing depth limits in `_.flatten` and     `_.isEqual`       functions (bsc#1259169).
    - CVE-2026-40181: react-router: open redirect to an external domain due to path values starting with `//`     being       reinterpreted as protocol-relative URLs (bsc#1272311).
    - CVE-2026-49356: @babel/core: arbitrary file read via `sourceMappingURL` comment (bsc#1272317).
    - CVE-2026-53550: js-yaml: quadratic complexity in merge-key processing when processing a crafted YAML     document       (bsc#1268851).
    - CVE-2026-53632: launch-editor: NTLMv2 hash disclosure via UNC path handling on Windows (bsc#1272319).
    - CVE-2026-54466: websocket-driver: message corruption via abuse of protocol length headers (bsc#1272312).
    - CVE-2026-54490: websocket-driver: resource limit bypass via message compression (bsc#1272313).
    - CVE-2026-55602: http-proxy-middleware: Host-header-driven backend routing bypass via `router` host+path     substring       matching (bsc#1272318).

Tenable has extracted the preceding description block directly from the SUSE security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

The Linux/Unix host has one or more packages installed that are impacted by a vulnerability without a vendor supplied patch available.

  - websocket-driver is a WebSocket protocol handler with pluggable I/O. Prior to 0.7.5, if this library is     used with the permessage-deflate extension, a WebSocket server or client can be made to accept messages     that are larger than the configured maximum message size because the limit is checked against the message     frames' length headers, which give the size of the compressed data, not the size after decompression in     lib/websocket/driver/hybi.js. This can lead to applications accepting larger messages than expected and     exceeding their intended resource usage. This issue is fixed in version 0.7.5. (CVE-2026-54490)

Note that Nessus relies on the presence of the package as reported by the vendor.

ID	Name	Product	Family	Published	Updated	Severity
327781	Linux Distros 未修補弱點：CVE-2026-54490	Nessus	Misc.	7/18/2026	8/22/2026	medium
327781	Linux Distros 未修补的漏洞：CVE-2026-54490	Nessus	Misc.	7/18/2026	8/22/2026	medium
327781	Linux Distros のパッチ未適用の脆弱性: CVE-2026-54490	Nessus	Misc.	7/18/2026	8/22/2026	medium
330583	openSUSE 16 Security Update : agama-web-ui (openSUSE-SU-2026:21448-1)	Nessus	SuSE Local Security Checks	7/29/2026	7/29/2026	critical
327781	Linux Distros Unpatched Vulnerability : CVE-2026-54490	Nessus	Misc.	7/18/2026	8/22/2026	medium

Detections

Analytics

Plugins Search

medium

medium

medium

critical

medium