Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且廠商未提供可用的修補程式。

  - 影響：當 undici 剖析 Set-Cookie 標頭時，它會接受任何包含 Strict、Lax 或 None 作為子字串的 SameSite 屬性值，而不是 RFC 6265 指定的不區分大小寫的完全相符。
    非規格值會以無訊息方式對應至三個標準權杖之一。例如，SameSite=NoneOfYourBusiness 會剖析為 None （最寬鬆的設定），而 SameSite=StrictLax 會剖析為 Lax （從 Strict） 降級。受影響的應用程式是那些從伺服器回應中取用 Set-Cookie 標頭的應用程式 （例如透過 undici 的擷取或代理程式碼路徑），然後轉送或依賴剖析的 sameSite 屬性。惡意或不合規的伺服器可能會將消費者對 Cookie 的 SameSite 原則檢視強制為較弱的值，以無訊息的方式降低 Cookie 應提供的 SameSite 強制執行。這是在新增 cookie 功能時在 undici 5.15.0 中引入的。修補程式：
    升級至 undici v6.26.0、v7.28.0 或 v8.5.0。因應措施：剖析 Set-Cookie 標頭後，在轉送或依賴之前，驗證產生的 sameSite 屬性是否為「Strict」、「Lax」或「None」（確切、不區分大小寫）之一。（CVE-2026-11525）

請注意，Nessus 的判定取決於廠商所報告的套件是否存在。

偵測

Linux Distros 未修補弱點：CVE-2026-11525

low Nessus Plugin ID 321573

版本 1.2