There are packages installed that are affected by a vulnerability referenced in the following CVE:

  - Immutable.js provides many Persistent Immutable data structures. Prior to 4.3.9 and 5.1.8, List#set,
    List#setSize, List#setIn, List#updateIn, and the functional set, setIn, and updateIn mishandle an index or
    size in the range 2 ** 30 to 2 ** 31 in setListBounds in src/List.js, causing an empty List to enter an
    uncatchable infinite loop, a populated List to allocate without bound until process abort, or setSize to
    silently wrap large values. This issue is fixed in versions 4.3.9 and 5.1.8. (CVE-2026-59879)

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且供應商未提供可用的修補程式。

  - Immutable.js 提供許多持續式不可變資料結構。在 4.3.9 和 5.1.8之前，List#set、List#setSize、List#setIn、List#updateIn 以及函式 set、setIn 和 updateIn 錯誤地處理 src/List.js 中 setListBounds 中 2 ** 30 到 2 ** 31 範圍內的索引或大小，導致一個空的 List 進入一個無法捕獲的無限迴圈，一個填充的 List 要無限制地分配，直到進程中止， 或 setSize 以無訊息方式包裝較大值。此問題已在 4.3.9 和 5.1.8 版中修正。(CVE-2026-59879)

請注意，Nessus 的判定取決於廠商所報告的套件是否存在。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - Immutable.js 提供许多持久性不可变数据结构。在 4.3.9 和 5.1.8之前，List#set、List#setSize、List#setIn、List#updateIn 以及函数集 setIn 和 updateIn 在 src/List.js 的 setListBounds 中错误处理 2 ** 30 到 2 ** 31 范围内的索引或大小，导致空列表进入无法捕获的无限循环，填充的列表要无限分配，直到进程中止为止， 或 setSize 静默封装大值。此问题已在 4.3.9 和 5.1.8 版本中得到修补。(CVE-2026-59879)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

遠端 Redhat Enterprise Linux 9 主機上安裝的多個套件受到 RHSA-2026:74503 公告中提及的多個弱點影響。

    Red Hat Satellite 是一套系統管理解決方案，讓組織無須為其伺服器或其他用戶端系統提供公共網際網路存取，就可以設定和維護系統。可執行預先定義標準作業環境的佈建和組態管理。

    安全性修正：

    * rubygem-foreman_remote_execution：透過 effective_user 參數 （CVE-2026-12405） 在工作叫用中插入命令
    * Foreman：透過佈建權杖驗證缺陷，造成未經驗證的資訊洩露 （CVE-2026-12423）
    * foreman：透過 request_id 參數 （CVE-2026-12540） 在 foreman-rake errors：fetch_log 中的命令插入
    * foreman：foreman-rake 資料庫任務中的命令插入 （CVE-2026-12541）
    * foreman：foreman-tail （CVE-2026-12542） 中的命令插入
    * foreman：foreman-rake 組態中的 SSTI 和不安全的反序列化 （CVE-2026-12544）
    * rubygem-hammer_cli：透過不安全的編輯器叫用進行命令插入 （CVE-2026-12545）
    * python3.12-dynaconf： Dynaconf：透過伺服器端範本插入 （CVE-2026-33154） 執行任意程式碼
    * yggdrasil-worker-forwarder： Go encoding/asn1：透過 UnmarshalCVE-2026-33818 （） 中的過度遞迴造成拒絕服務
    * yggdrasil-worker-forwarder： Golang MIME：透過惡意製作的 MIME 標頭 （CVE-2026-42504） 造成拒絕服務
    * nodejs-sanitize-html： PostCSS：透過特製的 CSS 輸入 （CVE-2026-45623） 進行資訊洩露和拒絕服務
    * python-sqlparse： sqlparse：透過 SQL 剖析中的二次 CPU 消耗造成拒絕服務 （CVE-2026-54284）
    * python3.12-sqlparse： sqlparse： 透過 SQL 剖析中的二次 CPU 消耗造成拒絕服務 （CVE-2026-54284）
    * rubygem-katello：透過標籤 （CVE-2026-56097） 在登錄檔 Proxy 中插入 SQL
    * rubygem-katello：不當的授權邏輯允許資源列舉 （CVE-2026-56098）
    * yggdrasil-worker-forwarder：前往 html/template：透過病理輸入 （CVE-2026-56858） 進行跨網站指令碼
    * yggdrasil-worker-forwarder： golang net/url： 路徑解析中的二次複雜度導致的拒絕服務 （CVE-2026-56860）
    * yggdrasil-worker-forwarder： Golang crypto/tls： 透過無限期 KeyUpdate 訊息 （CVE-2026-56862） 造成拒絕服務
    * nodejs-connected-react-router： Immutable.js：由於清單作業中大索引值處理不當而導致的拒絕服務 （CVE-2026-59879）
    * nodejs-sass： Immutable.js：由於清單作業中大索引值處理不當而導致的拒絕服務 （CVE-2026-59879）
    * python-sqlparse： sqlparse：透過低效的 SQL 剖析造成拒絕服務 （CVE-2026-59893）
    * python3.12-sqlparse： sqlparse： 透過低效的 SQL 剖析造成拒絕服務 （CVE-2026-59893）
    * python-sqlparse： sqlparse：透過註解分組中的二次 CPU 消耗造成拒絕服務 （CVE-2026-71491）
    * python3.12-sqlparse： sqlparse： 透過註解分組中的二次 CPU 消耗造成拒絕服務 （CVE-2026-71491）
    * nodejs-css-loader： nanoid： 由於整數溢位 （CVE-2026-73086） 而產生可預測的 ID
    * nodejs-sanitize-html： nanoid：由於整數溢位 （CVE-2026-73086） 而產生可預測的 ID
    * nodejs-compression-webpack-plugin： fast-uri：透過重複的主機名稱百分比解碼 （） 進行伺服器端要求偽造 （CVE-2026-75899）
    * nodejs-mini-css-extract-plugin： fast-uri：透過重複的主機名稱百分比解碼 （） 進行伺服器端要求偽造 （CVE-2026-75899）
    * nodejs-webpack： fast-uri：透過重複的主機名稱百分比解碼 （） 進行伺服器端要求偽造 （CVE-2026-75899）
    * nodejs-compression-webpack-plugin： fast-uri： 透過跳過的 IDN 規範化 （CVE-2026-75931） 造成主機混淆
    * nodejs-mini-css-extract-plugin： fast-uri：透過略過的 IDN 標準化 （） 造成主機混淆 （CVE-2026-75931）
    * nodejs-webpack： fast-uri： 透過跳過 IDN 規範化 （） 造成主機混淆 （CVE-2026-75931）
    * nodejs-compression-webpack-plugin： fast-uri： 透過格式錯誤的 IPv6 正規化 （） 進行伺服器端要求偽造 （CVE-2026-75975）
    * nodejs-mini-css-extract-plugin： fast-uri：透過格式錯誤的 IPv6 正規化 （） 進行伺服器端要求偽造 （CVE-2026-75975）
    * nodejs-webpack： fast-uri：透過格式錯誤的 IPv6 正規化 （） 進行伺服器端要求偽造 （CVE-2026-75975）
    * python3.12-gitpython： GitPython：透過 TagReference.create（） （CVE-2026-78679） 讀取的任意檔案
    * rubygem-katello：Katello 內容檢視歷史記錄 API 跨組織授權繞過 （CVE-2026-79654）
    * nodejs-compression-webpack-plugin： fast-uri：透過未經驗證的連接埠序列化進行權限插入 （CVE-2026-84292）
    * nodejs-mini-css-extract-plugin： fast-uri：透過未經驗證的連接埠序列化插入授權單位 （CVE-2026-84292）
    * nodejs-webpack： fast-uri：透過未經驗證的連接埠序列化 （） 進行權限插入 （CVE-2026-84292）
    * nodejs-compression-webpack-plugin： fast-uri：透過不平衡的 URI 括號造成主機混淆可以繞過安全性原則 （CVE-2026-84394）
    * ： nodejs-mini-css-extract-pluginfast-uri：透過不平衡的 URI 括號造成主機混淆，可能會繞過安全性原則 （CVE-2026-84394）
    * nodejs-webpack： fast-uri：透過不平衡的 URI 括號造成主機混淆可能會繞過安全性原則 （CVE-2026-84394）
    * python3.12-gitpython： GitPython：透過 Git 目錄模擬進行遠端程式碼執行 （CVE-2026-87817）
    * 工頭：通往 RCE 的安全模式繞過 （CVE-2026-96658）
    * foreman：預覽時檢視者角色的權限過高 （CVE-2026-96659）

Tenable 已直接從 Red Hat Enterprise Linux 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

远程 Redhat Enterprise Linux 9 主机上安装的程序包受到 RHSA-2026:74503 公告中提及的多个漏洞影响。

    Red Hat Satellite 是一个系统管理解决方案，它使组织能够配置和维护其系统，而无需为自身服务器或其他客户端系统提供公共 Internet 访问。该解决方案可执行预定义标准操作环境的设置和配置管理。

    安全修复：

    * rubygem-foreman_remote_execution：通过 effective_user 参数 （CVE-2026-12405） 在作业调用中注入命令
    * foreman：通过配置令牌验证缺陷 （CVE-2026-12423） 导致未经身份验证的信息泄露
    * foreman：foreman-rake errors：fetch_log 中通过 request_id 参数 （CVE-2026-12540） 注入命令
    * foreman：foreman-rake 数据库任务中的命令注入 （CVE-2026-12541）
    * foreman：foreman-tail （CVE-2026-12542） 中的命令注入
    * foreman：foreman-rake 配置 （CVE-2026-12544） 中的 SSTI 与不安全的反序列化
    * rubygem-hammer_cli：通过不安全的编辑器调用 （CVE-2026-12545） 进行命令注入
    * python3.12-dynaconf：Dynaconf：通过服务器端模板注入 （CVE-2026-33154） 执行任意代码
    * yggdrasil-worker-forwarder：Go encoding/asn1：Unmarshal （CVE-2026-33818） 中过多递归导致拒绝服务
    * yggdrasil-worker-forwarder：Golang MIME：通过恶意构建的 MIME 标头 （CVE-2026-42504） 造成拒绝服务
    * nodejs-sanitize-html： PostCSS：通过构建的 CSS 输入 （CVE-2026-45623） 导致的信息泄露和拒绝服务
    * python-sqlparse： sqlparse：通过 SQL 解析中的二次 CPU 消耗造成拒绝服务 （CVE-2026-54284）
    * python3.12-sqlparse： sqlparse：通过 SQL 解析中的二次 CPU 消耗造成拒绝服务 （CVE-2026-54284）
    * rubygem-katello：通过标签 （CVE-2026-56097） 在注册表代理中注入 SQL
    * rubygem-katello：不当授权逻辑允许资源枚举 （CVE-2026-56098）
    * yggdrasil-worker-forwarder：Go html/template：通过病态输入 （CVE-2026-56858） 的跨站脚本
    * yggdrasil-worker-forwarder： golang net/url： 路径解析中的二次复杂度导致的拒绝服务 （CVE-2026-56860）
    * yggdrasil-worker-forwarder：Golang crypto/tls：通过无限期的 KeyUpdate 消息 （CVE-2026-56862） 造成拒绝服务
    * nodejs-connected-react-router：Immutable.js：因未正确处理列表操作 （CVE-2026-59879） 中的大型索引值而导致拒绝服务
    * nodejs-sass：Immutable.js：因未正确处理列表操作 （CVE-2026-59879） 中的大型索引值而导致拒绝服务
    * python-sqlparse： sqlparse：通过低效的 SQL 解析造成拒绝服务 （CVE-2026-59893）
    * python3.12-sqlparse： sqlparse：通过低效的 SQL 解析造成拒绝服务 （CVE-2026-59893）
    * python-sqlparse： sqlparse：通过注释分组中的二次 CPU 消耗造成拒绝服务 （CVE-2026-71491）
    * python3.12-sqlparse： sqlparse：通过注释分组中的二次 CPU 消耗造成拒绝服务 （CVE-2026-71491）
    * nodejs-css-loader：nanoid：由于整数溢出导致的可预测 ID 生成 （CVE-2026-73086）
    * nodejs-sanitize-html：nanoid：由于整数溢出导致的可预测 ID 生成 （CVE-2026-73086）
    * nodejs-compression-webpack-plugin： fast-uri：通过重复主机名百分比解码 （CVE-2026-75899） 进行服务器端请求伪造
    * nodejs-mini-css-extract-plugin：fast-uri：通过重复的主机名百分比解码 （CVE-2026-75899） 进行服务器端请求伪造
    * nodejs-webpack：fast-uri：通过重复主机名百分比解码 （CVE-2026-75899） 进行服务器端请求伪造
    * nodejs-compression-webpack-plugin： fast-uri：通过跳过的 IDN 规范化造成主机混淆 （CVE-2026-75931）
    * nodejs-mini-css-extract-plugin： fast-uri：通过跳过的 IDN 规范化 （CVE-2026-75931） 造成主机混淆
    * nodejs-webpack：fast-uri：通过跳过的 IDN 规范化造成主机混淆 （CVE-2026-75931）
    * nodejs-compression-webpack-plugin： fast-uri：通过畸形 IPv6 规范化 （CVE-2026-75975） 进行服务器端请求伪造
    * nodejs-mini-css-extract-plugin：fast-uri：通过畸形 IPv6 规范化 （CVE-2026-75975） 进行服务器端请求伪造
    * nodejs-webpack：fast-uri：通过畸形 IPv6 规范化 （CVE-2026-75975） 进行服务器端请求伪造
    * python3.12-gitpython：GitPython：通过 TagReference.create（） （CVE-2026-78679） 读取任意文件
    * rubygem-katello：Katello Content View History API 跨组织授权绕过 （CVE-2026-79654）
    * nodejs-compression-webpack-plugin： fast-uri：通过未经验证的端口序列化进行的颁发机构注入 （CVE-2026-84292）
    * nodejs-mini-css-extract-plugin： fast-uri：通过未经验证的端口序列化进行的颁发机构注入 （CVE-2026-84292）
    * nodejs-webpack：fast-uri：通过未经验证的端口序列化进行的权限注入 （CVE-2026-84292）
    * nodejs-compression-webpack-plugin：fast-uri：通过不平衡的 URI 括号造成的主机混淆可绕过安全策略 （CVE-2026-84394）
    * nodejs-mini-css-extract-plugin：fast-uri：通过不平衡的 URI 括号造成主机混淆，可绕过安全策略 （CVE-2026-84394）
    * nodejs-webpack：fast-uri：通过不平衡的 URI 括号造成的主机混淆可绕过安全策略 （CVE-2026-84394）
    * python3.12-gitpython：GitPython：通过 Git 目录模拟 （CVE-2026-87817） 进行的远程代码执行
    * foreman：导致 RCE （CVE-2026-96658） 的安全模式绕过
    * foreman：预览中的查看者角色权限过多 （CVE-2026-96659）

Tenable 已直接从 Red Hat Enterprise Linux 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

リモートの Redhat Enterprise Linux 9 ホストに、RHSA-2026:74503 アドバイザリに記載されている複数の脆弱性の影響を受けるパッケージがインストールされています。

    Red Hat Satellite はシステム管理ソリューションです。これを使用することで組織は、組織のサーバーやその他クライアントシステムにパブリックインターネットアクセスを提供することなく、システムの設定や維持を行うことができるようになります。また、このソリューションは、事前に定義された標準のオペレーティング環境のプロビジョニングや設定管理も行います。

    セキュリティ修正:

    * rubygem-foreman_remote_execution:effective_user パラメーターを介したジョブ呼び出しのコマンドインジェクション(CVE-2026-12405)
    * foreman:プロビジョニングトークン検証の欠陥による認証されていない情報漏えい(CVE-2026-12423)
    * foreman:request_id パラメーターを介した foreman-rake errors:fetch_log でのコマンドインジェクション(CVE-2026-12540)
    * foreman:Foreman-rake データベースタスクでのコマンドインジェクション(CVE-2026-12541)
    * foreman:foreman-tail でのコマンドインジェクション(CVE-2026-12542)
    * foreman:foreman-rake 構成の SSTI および安全でない逆シリアル化(CVE-2026-12544)
    * rubygem-hammer_cli:安全でないエディター呼び出しからのコマンドインジェクション(CVE-2026-12545)
    * python3.12-dynaconf:Dynaconf:サーバーサイドテンプレートインジェクションによる任意のコードの実行(CVE-2026-33154)
    * yggdrasil-worker-forwarder:Go encoding/asn1:Unmarshal の過剰な再帰によるサービス拒否(CVE-2026-33818)
    * yggdrasil-worker-forwarder:Golang MIME:悪意を持って細工された MIME ヘッダーによるサービス拒否(CVE-2026-42504)
    * nodejs-sanitize-html:PostCSS:細工された CSS 入力からの情報漏洩とサービス拒否(CVE-2026-45623)
    * python-sqlparse:sqlparse:SQL 解析における二次 CPU 消費によるサービス拒否(CVE-2026-54284)
    * python3.12-sqlparse:sqlparse:SQL 解析における二次 CPU 消費によるサービス拒否(CVE-2026-54284)
    * rubygem-katello:ラベルによる Registry Proxy における SQL インジェクション(CVE-2026-56097)
    * rubygem-katello:不適切な承認ロジックにより、リソース列挙が可能になります(CVE-2026-56098)
    * yggdrasil-worker-forwarder:html/template へ移動:異常な入力によるクロスサイトスクリプティング(CVE-2026-56858)
    * yggdrasil-worker-forwarder:golang net/url:パス解決の二次複雑度によるサービス拒否(CVE-2026-56860)
    * yggdrasil-worker-forwarder:Golang crypto/tls:無限の KeyUpdate メッセージによるサービス拒否(CVE-2026-56862)
    * nodejs-connected-react-router:Immutable.js:リスト操作で大きなインデックス値の不適切な処理によるサービス拒否(CVE-2026-59879)
    * nodejs-sass:Immutable.js:リスト操作で大きなインデックス値の不適切な処理によるサービス拒否(CVE-2026-59879)
    * python-sqlparse: sqlparse:非効率的な SQL 解析によるサービス拒否(CVE-2026-59893)
    * python3.12-sqlparse:sqlparse:非効率的な SQL 解析によるサービス拒否(CVE-2026-59893)
    * python-sqlparse:sqlparse:コメントグループ化での 2 次 CPU 消費によるサービス拒否(CVE-2026-71491)
    * python3.12-sqlparse:sqlparse:コメントグループ化での 2 次 CPU 消費によるサービス拒否(CVE-2026-71491)
    * nodejs-css-loader:nanoid:整数オーバーフローによる予測可能な ID 生成(CVE-2026-73086)
    * nodejs-sanitize-html:nanoid:整数オーバーフローによる予測可能な ID 生成(CVE-2026-73086)
    * nodejs-compression-webpack-plugin:fast-uri:繰り返されるホスト名パーセントデコーディングを介したサーバー側のリクエスト偽造(CVE-2026-75899)
    * nodejs-mini-css-extract-plugin:fast-uri:繰り返されるホスト名パーセントデコーディングを介するサーバー側のリクエスト偽造(CVE-2026-75899)
    * nodejs-webpack:fast-uri:繰り返されるホスト名パーセントデコーディングを介したサーバー側のリクエスト偽造(CVE-2026-75899)
    * nodejs-compression-webpack-plugin:fast-uri:スキップされた IDN 正規化によるホストの混乱(CVE-2026-75931)
    * nodejs-mini-css-extract-plugin:fast-uri:スキップされた IDN 正規化によるホストの混乱(CVE-2026-75931)
    * nodejs-webpack:fast-uri:スキップされた IDN 正規化によるホストの混乱(CVE-2026-75931)
    * nodejs-compression-webpack-plugin:fast-uri:無効な形式の IPv6 正規化を通じたサーバー側のリクエスト偽造(CVE-2026-75975)
    * nodejs-mini-css-extract-plugin:fast-uri:無効な形式の IPv6 正規化を介するサーバー側のリクエスト偽造(CVE-2026-75975)
    * nodejs-webpack:fast-uri:無効な形式の IPv6 正規化を介するサーバー側のリクエスト偽造(CVE-2026-75975)
    * python3.12-gitpython:GitPython:TagReference.create() を通じた任意のファイルの読み取り(CVE-2026-78679)
    * rubygem-katello:Katello Content View History API の組織を越えた認証バイパス(CVE-2026-79654)
    * nodejs-compression-webpack-plugin:fast-uri:未検証のポートシリアル化による権限インジェクション(CVE-2026-84292)
    * nodejs-mini-css-extract-plugin:fast-uri:未検証のポートシリアル化を通じた権限注入(CVE-2026-84292)
    * nodejs-webpack:fast-uri:未検証のポートシリアル化を通じた権限インジェクション(CVE-2026-84292)
    * nodejs-compression-webpack-plugin:fast-uri:バランスの崩れた URI 括弧を通じたホストの混乱により、セキュリティポリシーをバイパスできる可能性があります(CVE-2026-84394)
    * nodejs-mini-css-extract-plugin:fast-uri:バランスの崩れた URI 括弧によるホストの混乱により、セキュリティポリシーがバイパスされる可能性があります(CVE-2026-84394)
    * nodejs-webpack:fast-uri:バランスの崩れた URI 括弧によるホストの混乱により、セキュリティポリシーをバイパスできます(CVE-2026-84394)
    * python3.12-gitpython:GitPython:Git ディレクトリのなりすましによるリモートコードの実行(CVE-2026-87817)
    * foreman:RCE につながるセーフモードバイパス(CVE-2026-96658)
    * foreman:プレビューの閲覧者ロールに対する過剰な権限(CVE-2026-96659)

Tenable は、前述の記述ブロックを Red Hat Enterprise Linux セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - Immutable.js は、多数の永続的な不変データ構造を提供します。4.3.9 と 5.1.8 より前は、List#set、List#setSize、List#setIn、List#updateIn、および関数セット、setIn、および updateIn は、src/List.js の setListBounds で 2 ** 30 から 2 ** 31 の範囲のインデックスまたはサイズを誤って処理します。これにより、空のリストが捕捉不可能な無限ループに入り、データが取り込まれたリストが、プロセスを中止するまで制限なく割り当てられます。 または setSize を使用して大きな値をサイレントにラップします。この問題はバージョン 4.3.9および 5.1.8で修正されています。(CVE-2026-59879)

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

The remote Redhat Enterprise Linux 9 host has packages installed that are affected by multiple vulnerabilities as referenced in the RHSA-2026:74503 advisory.

    Red Hat Satellite is a system management solution that allows organizations     to configure and maintain their systems without the necessity to provide     public Internet access to their servers or other client systems. It     performs provisioning and configuration management of predefined standard     operating environments.

    Security Fix(es):

    * rubygem-foreman_remote_execution: command injection in job invocations via effective_user parameter     (CVE-2026-12405)
    * foreman: unauthenticated information disclosure via provisioning token validation flaw (CVE-2026-12423)
    * foreman: command injection in foreman-rake errors:fetch_log via request_id parameter (CVE-2026-12540)
    * foreman: command injection in foreman-rake database tasks (CVE-2026-12541)
    * foreman: command injection in foreman-tail (CVE-2026-12542)
    * foreman: SSTI and insecure deserialization in foreman-rake configuration (CVE-2026-12544)
    * rubygem-hammer_cli: command injection via insecure editor invocation (CVE-2026-12545)
    * python3.12-dynaconf: Dynaconf: Arbitrary code execution via Server-Side Template Injection     (CVE-2026-33154)
    * yggdrasil-worker-forwarder: Go encoding/asn1: Denial of Service via excessive recursion in Unmarshal     (CVE-2026-33818)
    * yggdrasil-worker-forwarder: Golang MIME: Denial of Service via maliciously-crafted MIME header     (CVE-2026-42504)
    * nodejs-sanitize-html: PostCSS: Information disclosure and denial of service via crafted CSS input     (CVE-2026-45623)
    * python-sqlparse: sqlparse: Denial of Service via quadratic CPU consumption in SQL parsing     (CVE-2026-54284)
    * python3.12-sqlparse: sqlparse: Denial of Service via quadratic CPU consumption in SQL parsing     (CVE-2026-54284)
    * rubygem-katello: SQL injection in Registry Proxy via labels (CVE-2026-56097)
    * rubygem-katello: improper authorization logic allows resource enumeration (CVE-2026-56098)
    * yggdrasil-worker-forwarder: Go html/template: Cross-Site Scripting via pathological input     (CVE-2026-56858)
    * yggdrasil-worker-forwarder: golang net/url: Denial of Service from quadratic complexity in path     resolution (CVE-2026-56860)
    * yggdrasil-worker-forwarder: Golang crypto/tls: Denial of Service via indefinite KeyUpdate messages     (CVE-2026-56862)
    * nodejs-connected-react-router: Immutable.js: Denial of Service due to mishandling of large index values     in List operations (CVE-2026-59879)
    * nodejs-sass: Immutable.js: Denial of Service due to mishandling of large index values in List operations     (CVE-2026-59879)
    * python-sqlparse: sqlparse: Denial of Service via inefficient SQL parsing (CVE-2026-59893)
    * python3.12-sqlparse: sqlparse: Denial of Service via inefficient SQL parsing (CVE-2026-59893)
    * python-sqlparse: sqlparse: Denial of Service via quadratic CPU consumption in comment grouping     (CVE-2026-71491)
    * python3.12-sqlparse: sqlparse: Denial of Service via quadratic CPU consumption in comment grouping     (CVE-2026-71491)
    * nodejs-css-loader: nanoid: Predictable ID generation due to integer overflow (CVE-2026-73086)
    * nodejs-sanitize-html: nanoid: Predictable ID generation due to integer overflow (CVE-2026-73086)
    * nodejs-compression-webpack-plugin: fast-uri: Server-Side Request Forgery via repeated hostname percent-     decoding (CVE-2026-75899)
    * nodejs-mini-css-extract-plugin: fast-uri: Server-Side Request Forgery via repeated hostname percent-     decoding (CVE-2026-75899)
    * nodejs-webpack: fast-uri: Server-Side Request Forgery via repeated hostname percent-decoding     (CVE-2026-75899)
    * nodejs-compression-webpack-plugin: fast-uri: Host confusion via skipped IDN canonicalization     (CVE-2026-75931)
    * nodejs-mini-css-extract-plugin: fast-uri: Host confusion via skipped IDN canonicalization     (CVE-2026-75931)
    * nodejs-webpack: fast-uri: Host confusion via skipped IDN canonicalization (CVE-2026-75931)
    * nodejs-compression-webpack-plugin: fast-uri: Server-side request forgery via malformed IPv6     normalization (CVE-2026-75975)
    * nodejs-mini-css-extract-plugin: fast-uri: Server-side request forgery via malformed IPv6 normalization     (CVE-2026-75975)
    * nodejs-webpack: fast-uri: Server-side request forgery via malformed IPv6 normalization (CVE-2026-75975)
    * python3.12-gitpython: GitPython: Arbitrary file read via TagReference.create() (CVE-2026-78679)
    * rubygem-katello: Katello Content View History API Cross-Organization Authorization Bypass     (CVE-2026-79654)
    * nodejs-compression-webpack-plugin: fast-uri: Authority Injection via Unvalidated Port Serialization     (CVE-2026-84292)
    * nodejs-mini-css-extract-plugin: fast-uri: Authority Injection via Unvalidated Port Serialization     (CVE-2026-84292)
    * nodejs-webpack: fast-uri: Authority Injection via Unvalidated Port Serialization (CVE-2026-84292)
    * nodejs-compression-webpack-plugin: fast-uri: Host confusion via unbalanced URI brackets can bypass     security policies (CVE-2026-84394)
    * nodejs-mini-css-extract-plugin: fast-uri: Host confusion via unbalanced URI brackets can bypass security     policies (CVE-2026-84394)
    * nodejs-webpack: fast-uri: Host confusion via unbalanced URI brackets can bypass security policies     (CVE-2026-84394)
    * python3.12-gitpython: GitPython: Remote Code Execution via Git directory impersonation (CVE-2026-87817)
    * foreman: Safemode Bypass leading to RCE (CVE-2026-96658)
    * foreman: Excessive Permissions for Viewer Role on Preview (CVE-2026-96659)

Tenable has extracted the preceding description block directly from the Red Hat Enterprise Linux security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

The Linux/Unix host has one or more packages installed that are impacted by a vulnerability without a vendor supplied patch available.

  - Immutable.js provides many Persistent Immutable data structures. Prior to 4.3.9 and 5.1.8, List#set,     List#setSize, List#setIn, List#updateIn, and the functional set, setIn, and updateIn mishandle an index or     size in the range 2 ** 30 to 2 ** 31 in setListBounds in src/List.js, causing an empty List to enter an     uncatchable infinite loop, a populated List to allocate without bound until process abort, or setSize to     silently wrap large values. This issue is fixed in versions 4.3.9 and 5.1.8. (CVE-2026-59879)

Note that Nessus relies on the presence of the package as reported by the vendor.

ID	Name	Product	Family	Published	Updated	Severity
445102	SCA: security update for immutable (GHSA-v56q-mh7h-f735)	Tenable Cloud Security	SCA Checks	7/22/2026	9/3/2026	high
445102	SCA: security update for immutable (GHSA-v56q-mh7h-f735)	Tenable Self-Hosted Container Security	SCA Checks	7/22/2026	9/3/2026	high
328706	Linux Distros 未修補弱點：CVE-2026-59879	Nessus	Misc.	7/21/2026	10/8/2026	high
328706	Linux Distros 未修补的漏洞：CVE-2026-59879	Nessus	Misc.	7/21/2026	10/8/2026	high
362390	RHEL 9：衛星非 6.19.5 同步更新（嚴重）（RHSA-2026:74503）	Nessus	Red Hat Local Security Checks	10/1/2026	10/8/2026	high
362390	RHEL 9：Satellite 6.19.5 异步更新（关键）（RHSA-2026:74503）	Nessus	Red Hat Local Security Checks	10/1/2026	10/8/2026	high
362390	RHEL 9:Satellite 6.19.5 Async更新プログラム(重要度最高)(RHSA-2026:74503)	Nessus	Red Hat Local Security Checks	10/1/2026	10/8/2026	high
328706	Linux Distros のパッチ未適用の脆弱性: CVE-2026-59879	Nessus	Misc.	7/21/2026	10/8/2026	high
362390	RHEL 9 : Satellite 6.19.5 Async Update (Critical) (RHSA-2026:74503)	Nessus	Red Hat Local Security Checks	10/1/2026	10/8/2026	high
328706	Linux Distros Unpatched Vulnerability : CVE-2026-59879	Nessus	Misc.	7/21/2026	10/8/2026	high

Detections

Analytics

Plugins Search

high

high

high

high

high

high

high

high

high

high