There are packages installed that are affected by a vulnerability referenced in the following CVE:

  - Impact: The morgan logging middleware's :remote-user token extracts the Basic auth username from the
    Authorization request header and writes it to the log stream without neutralizing control characters. An
    unauthenticated attacker can send a crafted Authorization Basic header containing CR or LF bytes to inject
    forged log lines, breaking the one-request-per-line structure of access logs and enabling log forgery
    against downstream log consumers. The built-in combined, common, default, and short formats are affected,
    as well as any custom format that references :remote-user. Affected versions: morgan 1.2.0 through 1.10.1.
    Patches: upgrade to morgan 1.11.0, which neutralizes control characters in the :remote-user token output.
    Workarounds: use a custom format string that does not include :remote-user. (CVE-2026-5078)

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - 影响：morgan 日志记录中间件的 ：remote-user 标记从授权请求标头中提取基本认证用户名，并在不中和控制字符的情况下将其写入日志流。未经认证的攻击者可发送包含 CR 或 LF 字节的构建的 Authorization Basic 标头注入伪造的日志行，从而破坏访问日志的每行请求一次结构，并针对下游日志使用者进行日志伪造。内置的组合格式、通用格式、默认格式和短格式以及引用 ：remote-user 的任何自定义格式都会受到影响。受影响版本：摩根到 1.2.01.10.1.
    修补程序：升级到 morgan 1.11.0，可中和 ：remote-user 标记输出中的控制字符。
    变通方案：使用不包含 ：remote-user 的自定义格式字符串。（CVE-2026-5078）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且供應商未提供可用的修補程式。

  - 影響：morgan 記錄中介軟體的 ：remote-user 權杖會從授權要求標頭擷取基本驗證使用者名稱，並將它寫入日誌串流，而不中和控制字元。未經身份驗證的攻擊者可以發送包含 CR 或 LF 位元組的特製 Authorization Basic 標頭，以插入偽造的日誌行，從而破壞存取日誌的每行一個請求結構，並針對下游日誌消費者啟用日誌偽造。內建的組合格式、通用格式、預設格式和短格式，以及任何引用 ：remote-user 的自訂格式都會受到影響。受影響的版本：morgan 1.2.0 到 1.10.1.
    修補程式：升級到 morgan 1.11.0，它會中和 ：remote-user 權杖輸出中的控制字元。
    因應措施：使用不包含 ：remote-user 的自訂格式字串。（CVE-2026-5078）

請注意，Nessus 的判定取決於廠商所報告的套件是否存在。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - 影響:morgan ロギングミドルウェアの :remote-user トークンは、Authorization リクエストヘッダーから Basic 認証ユーザー名を抽出し、制御文字を中立化せずにログストリームに書き込みます。認証されていない攻撃者が、CR または LF バイトを含む細工された Authorization Basic ヘッダーを送信して、偽造されたログ行を注入し、アクセスログの 1 行ごとのリクエストの構造を破り、ダウンストリームのログコンシューマーに対するログ偽造を可能にする可能性があります。ビルトインの組み合わせ、共通、デフォルト、および短い書式と、:remote-user を参照するあらゆるカスタム書式が影響を受けます。影響を受けるバージョン:1.10.1 までの morgan 1.2.0。
    パッチ::remote-user トークン出力の制御文字を無効化する morgan 1.11.0 にアップグレードします。
    回避策::remote-user を含まないカスタム書式文字列を使用します。(CVE-2026-5078)

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

The Linux/Unix host has one or more packages installed that are impacted by a vulnerability without a vendor supplied patch available.

  - Impact: The morgan logging middleware's :remote-user token extracts the Basic auth username from the     Authorization request header and writes it to the log stream without neutralizing control characters. An     unauthenticated attacker can send a crafted Authorization Basic header containing CR or LF bytes to inject     forged log lines, breaking the one-request-per-line structure of access logs and enabling log forgery     against downstream log consumers. The built-in combined, common, default, and short formats are affected,     as well as any custom format that references :remote-user. Affected versions: morgan 1.2.0 through 1.10.1.
    Patches: upgrade to morgan 1.11.0, which neutralizes control characters in the :remote-user token output.
    Workarounds: use a custom format string that does not include :remote-user. (CVE-2026-5078)

Note that Nessus relies on the presence of the package as reported by the vendor.

ID	名稱	產品	系列	已發布	已更新	嚴重性
444620	SCA: security update for morgan (GHSA-4vj7-5mj6-jm8m)	Tenable Cloud Security	SCA Checks	2026/7/10	2026/7/10	medium
444620	SCA: security update for morgan (GHSA-4vj7-5mj6-jm8m)	Tenable Self-Hosted Container Security	SCA Checks	2026/7/10	2026/7/10	medium
318699	Linux Distros 未修补的漏洞：CVE-2026-5078	Nessus	Misc.	2026/6/4	2026/7/16	medium
318699	Linux Distros 未修補弱點：CVE-2026-5078	Nessus	Misc.	2026/6/4	2026/7/16	medium
318699	Linux Distros のパッチ未適用の脆弱性: CVE-2026-5078	Nessus	Misc.	2026/6/4	2026/7/16	medium
318699	Linux Distros Unpatched Vulnerability : CVE-2026-5078	Nessus	Misc.	2026/6/4	2026/7/16	medium

偵測

搜尋 Plugin

medium

medium

medium

medium

medium

medium