Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且廠商未提供可用的修補程式。

  - league/commonmark （thephpleague/commonmark） 版本 >= 2.7.0 和 < 2.9.1 的 AttributesExtension 中包含跨網站指令碼弱點。在屬性名稱前加上單一 U+000C 表單饋送位元組 （例如 {\x0Conclick=alert（1）}） 會繞過 AttributesHelper：：filterAttributes（） 'on*' 事件處理常式篩選器，因為 PHP 的 trim（） 不會剝離 U+000C，導致屬性被逐字寫入輸出中，瀏覽器將其解析為真正的事件處理常式。相同的前置詞也會破壞 allow_unsafe_links 檢查，即使 javascript 為 false，也允許透過 href/src 屬性allow_unsafe_links URI。利用需要在啟用 AttributesExtension 的情況下處理不受信任的 Markdown;插入的指令碼會在檢視轉譯的HTML時執行。已在 2.9.1 版中修正。(CVE-2026-86431)

請注意，Nessus 的判定取決於廠商所報告的套件是否存在。

偵測

Linux Distros 未修補弱點：CVE-2026-86431

medium Nessus Plugin ID 343538

版本 1.1