There are packages installed that are affected by a vulnerability referenced in the following CVE:

  - Axios is a promise based HTTP client for the browser and Node.js. Prior to 1.15.1 and 0.31.1, the Axios
    library is vulnerable to a Prototype Pollution "Gadget" attack that allows any Object.prototype pollution
    to silently suppress all HTTP error responses (401, 403, 500, etc.), causing them to be treated as
    successful responses. This completely bypasses application-level authentication and error handling. The
    root cause is that validateStatus is the only config property using the mergeDirectKeys merge strategy,
    which uses JavaScript's in operator — an operator that inherently traverses the prototype chain. When
    Object.prototype.validateStatus is polluted with () => true, all HTTP status codes are accepted as
    success. This vulnerability is fixed in 1.15.1 and 0.31.1. (CVE-2026-42041)

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且廠商未提供可用的修補程式。

  - Axios 是瀏覽器和Node.js的基於承諾HTTP客戶端。在 1.15.1 和 0.31.1之前，Axios 程式庫容易受到 Prototype Pollution Gadget 攻擊，該攻擊允許任何 Object.prototype 污染以無訊息方式抑制所有 HTTP 錯誤回應 （401、403、500 等），導致它們被視為成功的回應。這完全繞過了應用程式層級的驗證和錯誤處理。根本原因是 validateStatus 是唯一使用 mergeDirectKeys 合併策略的配置屬性，該策略使用 JavaScript 的 in 運算子，一個固有地遍歷原型鏈的運算子。當 Object.prototype.validateStatus 被 （） => true 污染時，所有HTTP狀態碼都會被接受為成功。此弱點已在 1.15.1 和 0.31.1 中修正。(CVE-2026-42041)

請注意，Nessus 的判定取決於廠商所報告的套件是否存在。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - Axios 是基于 Promise 的 HTTP 客户端，用于浏览器和Node.js。低于 和 0.31.1的版本1.15.1之前，Axios 库容易遭受 Prototype Pollution Gadget 攻击，该攻击允许任何 Object.prototype 污染静默禁止所有 HTTP 错误响应（401、403、500 等），从而造成其被视为成功响应。这完全绕过应用程序级认证和错误处理。根本原因是 validateStatus 是唯一使用 mergeDirectKeys 合并策略的配置属性，该策略使用 JavaScript 的运算符，该运算符本质上遍历原型链。当 Object.prototype.validateStatus 被 （） => true 污染时，所有 HTTP 状态代码都会被接受为成功。此漏洞已在 1.15.1 和 0.31.1 中修复。(CVE-2026-42041)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

リモートの openSUSE 16 ホストに、複数の脆弱性の影響を受けているパッケージがインストールされています。これらの脆弱性は openSUSE-SU-2026:20919-1 アドバイザリで言及されています。

    agama-web-ui のこの更新は、次の問題を修正します

    - CVE-2025-7339:on-headers:不適切な配列処理により、HTTP応答ヘッダー操作(bsc#1246678)が引き起こされる可能性があります。
    - CVE-2026-9277:shell-quote:quote() によるオブジェクト .op 値の改行の不適切なエスケープが、シェルコマンドインジェクションを引き起こす可能性があります(bsc#1266256)。
    - CVE-2026-42041:axios:HTTPエラーの抑制による、validateStatus プロトタイプ汚染ガジェット経由の認証バイパス(bsc#1264160)。
    - CVE-2026-42264:axios:プロトタイプ汚染 アダプター HTTP読み取り側ガジェットにより、認証情報インジェクションおよびリクエスト H が引き起こされる可能性があります(bsc#1264802)。

    agama-web-ui の変更:

    - npm audit によって報告された他の依存関係を更新します。

Tenable は、前述の記述ブロックを SUSE セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - Axios は、ブラウザおよび Node.js 用の Promise ベースの HTTP クライアントです。1.15.1 および 0.31.1 より前のバージョンでは、Axios ライブラリはプロトタイプ汚染ガジェット攻撃に対して脆弱であり、この攻撃により、任意の Object.prototype 汚染によって、すべての HTTP エラー応答(401、403、500 など)がサイレントに抑制され、それらが成功した応答として処理される可能性があります。これにより、アプリケーションレベルの認証とエラー処理が完全にバイパスされます。根本的な原因は、validateStatusがmergeDirectKeysマージ戦略を使用する唯一の構成プロパティであり、これは本質的にプロトタイプチェーンをトラバースする演算子である演算子でJavaScriptを使用します。Object.prototype.validateStatusが() => trueで汚染されている場合、すべてのHTTPステータスコードが成功として受け入れられます。この脆弱性は、1.15.1 および 0.31.1 で修正されています。(CVE-2026-42041)

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

The Linux/Unix host has one or more packages installed that are impacted by a vulnerability without a vendor supplied patch available.

  - Axios is a promise based HTTP client for the browser and Node.js. Prior to 1.15.1 and 0.31.1, the Axios     library is vulnerable to a Prototype Pollution Gadget attack that allows any Object.prototype pollution     to silently suppress all HTTP error responses (401, 403, 500, etc.), causing them to be treated as     successful responses. This completely bypasses application-level authentication and error handling. The     root cause is that validateStatus is the only config property using the mergeDirectKeys merge strategy,     which uses JavaScript's in operator  an operator that inherently traverses the prototype chain. When     Object.prototype.validateStatus is polluted with () => true, all HTTP status codes are accepted as     success. This vulnerability is fixed in 1.15.1 and 0.31.1. (CVE-2026-42041)

Note that Nessus relies on the presence of the package as reported by the vendor.

The remote openSUSE 16 host has a package installed that is affected by multiple vulnerabilities as referenced in the openSUSE-SU-2026:20919-1 advisory.

    This update for agama-web-ui fixes the following issues

    - CVE-2025-7339: on-headers: incorrect array handling may lead to HTTP response header manipulation     (bsc#1246678).
    - CVE-2026-9277: shell-quote: improper escaping of newlines in object .op values by quote() can lead to     shell command       injection (bsc#1266256).
    - CVE-2026-42041: axios: authentication bypass via validateStatus prototype pollution gadget due to     suppression of HTTP       error (bsc#1264160).
    - CVE-2026-42264: axios: prototype pollution read-side gadgets in HTTP adapter can lead to credential     injection and       request h (bsc#1264802).

    Changes for agama-web-ui:

    - Update other dependencies reported by npm audit.

Tenable has extracted the preceding description block directly from the SUSE security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

ID	名稱	產品	系列	已發布	已更新	嚴重性
441070	SCA: security update for axios (GHSA-w9j2-pvgh-6h63)	Tenable Cloud Security	SCA Checks	2026/5/5	2026/7/2	medium
441070	SCA: security update for axios (GHSA-w9j2-pvgh-6h63)	Tenable Self-Hosted Container Security	SCA Checks	2026/5/5	2026/7/2	medium
310528	Linux Distros 未修補的弱點：CVE-2026-42041	Nessus	Misc.	2026/4/27	2026/7/20	medium
310528	Linux Distros 未修补的漏洞：CVE-2026-42041	Nessus	Misc.	2026/4/27	2026/7/20	medium
320412	openSUSE 16 セキュリティ更新:agama-web-ui(openSUSE-SU-2026:20919-1)	Nessus	SuSE Local Security Checks	2026/6/11	2026/6/11	critical
310528	Linux Distros のパッチ未適用の脆弱性: CVE-2026-42041	Nessus	Misc.	2026/4/27	2026/7/20	medium
310528	Linux Distros Unpatched Vulnerability : CVE-2026-42041	Nessus	Misc.	2026/4/27	2026/7/20	medium
320412	openSUSE 16 Security Update : agama-web-ui (openSUSE-SU-2026:20919-1)	Nessus	SuSE Local Security Checks	2026/6/11	2026/6/11	critical

偵測

搜尋 Plugin

medium

medium

medium

medium

critical

medium

medium

critical