There are packages installed that are affected by a vulnerability referenced in the following CVE:

  - fast-uri is a dependency-free RFC 3986 URI parser for Node.js, used by Fastify and ajv. In versions before
    2.4.7, from 3.0.0 through 3.1.7, and from 4.0.0 through 4.1.4, fast-uri folds the host to lowercase before
    it percent-decodes the host, so a percent-encoded uppercase octet such as %41 decodes to a literal A that
    is never folded. For a scheme-relative reference such as //host there is no scheme, so the host
    canonicalization that would normally repair this does not run, and parse, normalize, and equal then
    disagree on the same host. An application that makes a case-sensitive host decision on fast-uri output,
    for example a host allowlist or denylist that compares the parsed host or uses equal, can be steered past
    the check with a percent-encoded uppercase octet, and because hostnames are case-insensitive in DNS and
    HTTP the evading spelling still reaches the host the check meant to gate. The issue is fixed in fast-uri
    2.4.7, 3.1.8, and 4.1.5, and users should upgrade to one of those versions or later. As a workaround,
    compare hosts case-insensitively by lowercasing the parsed host before any allowlist or denylist decision.
    (CVE-2026-86472)

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且廠商未提供可用的修補程式。

  - fast-uri 是用於 Node.js 的無相依性 RFC 3986 URI 剖析器，由 Fastify 和 ajv 使用。在之前的版本2.4.74.0.03.0.03.1.74.1.4中，fast-uri 會在對主機進行百分比解碼之前先將主機折疊成小寫，因此百分比編碼的大寫八位元組 （例如 %41） 會解碼為永不折疊的文字 A。對於 //host 等配置相對參照，沒有配置，因此通常會修復此問題的主機規範化不會運行，並且剖析、正規化和相等，然後在同一主機上不同意。對快速 uri 輸出做出區分大小寫的主機決策的應用程式 （例如比較剖析主機或使用等號的主機允許清單或拒絕清單） 可以使用百分比編碼的大寫八位元組引導通過檢查，並且由於主機名稱在 DNS 和 HTTP 中不區分大小寫，因此迴避拼字仍會到達檢查要門禁的主機。此問題已在 fast-uri 2.4.7、 3.1.8和 4.1.5中修正，使用者應該升級至其中一個版本或更新版本。因應措施是，在任何允許清單或拒絕清單決策之前，將剖析的主機小寫，以不區分大小寫的方式比較主機。
    (CVE-2026-86472)

請注意，Nessus 依賴供應商報告的套件存在。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - fast-uri 是用于 Node.js 的无依存关系 RFC 3986 URI 解析器，供 Fastify 和 ajv 使用。在之前 2.4.7的版本中，从 到 到 3.0.03.1.7和 从 4.0.0 到 4.1.4，fast-uri 在对主机进行百分比解码之前将主机折叠成小写，因此百分比编码的大写八位字节（例如 %41）解码为永远不会折叠的文字 A。对于方案相关的引用（如 //host）没有方案，因此通常会修复此问题的主机规范化不会运行，并且在同一主机上解析、规范化和等于然后不同意。对 fast-uri 输出做出区分大小写的主机决策的应用程序（例如比较已解析主机或使用相等的主机允许列表或拒绝列表）可通过以百分比编码的大写八进制数通过检查，并且由于主机名在 DNS 和 HTTP 中不区分大小写，因此逃避拼写仍会到达检查要进行门控的主机。fast-uri 2.4.7、 3.1.8和 4.1.5中已修复该问题，用户应升级到这些版本中的其中一个或更高版本。作为变通方案，可以在任何允许列表或拒绝列表决策之前，将已解析的主机变成小写，不区分大小写地比较主机。
    (CVE-2026-86472)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - fast-uri は、Node.js 向けの依存関係のない RFC 3986 URI パーサーで、Fastify および ajv によって使用されます。2.4.7 より前のバージョン、3.0.0 から 3.1.7、4.0.0 から 4.1.4 のバージョンでは、fast-uri はホストをパーセント デコードする前にホストを小文字に折りたたむため、%41 などのパーセント エンコードされた大文字のオクテットは、決して折りたたまれないリテラル A にデコードされます。//host のようなスキーム相対参照に対してはスキームが存在しないため、通常これを修復するホスト正規化は実行されず、同じホスト上で解析、正規化、等し、その後一致しません。高速URI出力で大文字と小文字を区別してホストを決定するアプリケーション(たとえば、解析されたホストを比較するか、等号を使用するホスト許可リストまたは拒否リスト)は、パーセントエンコードされた大文字のオクテットを使用してチェックを通過する可能性があります。また、ホスト名はDNSとHTTPで大文字と小文字を区別しないため、回避スペルは依然としてチェックがゲート対象のホストに届きます。この問題は fast-uri 2.4.7、 3.1.8、 4.1.5 で修正されており、ユーザーはこれらのバージョンのいずれか以降にアップグレードする必要があります。回避策として、許可リストまたは拒否リストを決定する前に解析されたホストを小文字にすることで、ホストを大文字と小文字を区別せずに比較します。
    (CVE-2026-86472)

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

リモートの Fedora 43 ホストには、FEDORA-2026-3942ab86fd のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    バージョン 1.19.5 および 1.19.6 での変更については、https://github.com/jupytext/jupytext/blob/main/CHANGELOG.mdを参照してください。
    この更新プログラムでは、jupyter-builderは F46 以降でのみ使用できるため、Fedoraリリース45のjupyterlab jupyter-builderの変更を元に戻すパッチが適用されました。このリリースでは、多数の CVE が修正されました。


Tenable は、前述の記述ブロックを Fedora セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

The Linux/Unix host has one or more packages installed that are impacted by a vulnerability without a vendor supplied patch available.

  - fast-uri is a dependency-free RFC 3986 URI parser for Node.js, used by Fastify and ajv. In versions before     2.4.7, from 3.0.0 through 3.1.7, and from 4.0.0 through 4.1.4, fast-uri folds the host to lowercase before     it percent-decodes the host, so a percent-encoded uppercase octet such as %41 decodes to a literal A that     is never folded. For a scheme-relative reference such as //host there is no scheme, so the host     canonicalization that would normally repair this does not run, and parse, normalize, and equal then     disagree on the same host. An application that makes a case-sensitive host decision on fast-uri output,     for example a host allowlist or denylist that compares the parsed host or uses equal, can be steered past     the check with a percent-encoded uppercase octet, and because hostnames are case-insensitive in DNS and     HTTP the evading spelling still reaches the host the check meant to gate. The issue is fixed in fast-uri     2.4.7, 3.1.8, and 4.1.5, and users should upgrade to one of those versions or later. As a workaround,     compare hosts case-insensitively by lowercasing the parsed host before any allowlist or denylist decision.
    (CVE-2026-86472)

Note that Nessus relies on the presence of the package as reported by the vendor.

The remote Fedora 43 host has a package installed that is affected by multiple vulnerabilities as referenced in the FEDORA-2026-3942ab86fd advisory.

    See https://github.com/jupytext/jupytext/blob/main/CHANGELOG.md for changes in versions 1.19.5 and 1.19.6.
    For this update, a patch has been applied that reverses the jupyterlab  jupyter-builder change for     Fedora releases  45, since jupyter-builder is only available in F46 and later.  Many CVEs have been     fixed in this release.


Tenable has extracted the preceding description block directly from the Fedora security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

ID	Name	Product	Family	Published	Updated	Severity
460539	Echo: fast-uri: security update to 2.4.7	Tenable Cloud Security	Echo Local Security Checks	10/2/2026	10/5/2026	medium
460539	Echo: fast-uri: security update to 2.4.7	Tenable Self-Hosted Container Security	Echo Local Security Checks	10/2/2026	10/5/2026	medium
345880	Linux Distros 未修補弱點：CVE-2026-86472	Nessus	Misc.	9/15/2026	11/10/2026	medium
345880	Linux Distros 未修补的漏洞：CVE-2026-86472	Nessus	Misc.	9/15/2026	11/10/2026	medium
345880	Linux Distros のパッチ未適用の脆弱性: CVE-2026-86472	Nessus	Misc.	9/15/2026	11/10/2026	medium
365513	Fedora 43:python-jupytext(2026-3942ab86fd)	Nessus	Fedora Local Security Checks	10/14/2026	10/14/2026	high
345880	Linux Distros Unpatched Vulnerability : CVE-2026-86472	Nessus	Misc.	9/15/2026	11/10/2026	medium
365513	Fedora 43 : python-jupytext (2026-3942ab86fd)	Nessus	Fedora Local Security Checks	10/14/2026	10/14/2026	high

Detections

Analytics

Plugins Search

medium

medium

medium

medium

medium

high

medium

high