Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - reset_password.html 解析查询字符串参数并在密码重置后使用“url”参数作为重定向目标 （window.location = url），可选通过“delay”参数延迟。未对 URL 执行任何验证或加入允许列表，这使攻击者能够在密码重置工作流程完成后将用户重定向到任意外部站点。（CVE-2026-53683）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且廠商未提供可用的修補程式。

  - reset_password.html 會剖析查詢字串參數，並在密碼重設後使用 'url' 參數作為重新導向目標 （window.location = url），可選擇性地透過 'delay' 參數延遲。系統不會在 URL 上執行驗證或允許清單，因此攻擊者可在密碼重設工作流程完成後，將使用者重新導向至任意外部網站。（CVE-2026-53683）

請注意，Nessus 的判定取決於廠商所報告的套件是否存在。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - reset_password.html はクエリ文字列パラメーターを解析し、パスワードリセット後に「url」パラメーターをリダイレクトターゲット(window.location = url)として使用します。オプションで「delay」パラメーターによって遅延します。urlでは検証や許可リスト登録が行われないため、攻撃者はパスワードリセットワークフローの完了後にユーザーを任意の外部サイトにリダイレクトできます。(CVE-2026-53683)

Nessus は、ベンダーから報告されたパッケージの存在に依存していることに注意してください。

The Linux/Unix host has one or more packages installed that are impacted by a vulnerability without a vendor supplied patch available.

  - reset_password.html parses query string parameters and uses the 'url' parameter as a redirection target     (window.location = url) after password reset, optionally delayed by a 'delay' parameter. No validation or     allowlisting is performed on url, enabling an attacker to redirect users to an arbitrary external site     after completion of the password-reset workflow. (CVE-2026-53683)

Note that Nessus relies on the presence of the package as reported by the vendor.

The version of FreeBSD installed on the remote host is prior to tested version. It is, therefore, affected by multiple vulnerabilities as referenced in the 4d2a90c7-df51-11f1-a655-3497f65b111b advisory.

    The FreeIPA project reports:
    CVE-2026-53683: client-side open redirect in reset_password.html.
                The page takes the url query parameter as a redirection target                 without validating or allow-listing it, so an attacker can send a                 user to an arbitrary site once the password reset completes. No                 authentication is required, and the link appears to come from the                 IdM domain, which makes it useful for phishing.
    CVE-2026-86593: unauthenticated denial of service in the session                 endpoints login_password, change_password and sync_token. They do                 not limit the size of the request body, so an attacker can tie up                 the WSGI worker pool. That pool serves the whole /ipa application,                 so exhausting it also denies the Kerberos authenticated paths such                 as the web interface and the admin RPC. This is the same root cause                 already fixed for i18n_messages and migration.py, whose fix covered                 only a single caller.

Tenable has extracted the preceding description block directly from the FreeBSD security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

ID	名稱	產品	系列	已發布	已更新	嚴重性
342344	Linux Distros 未修补的漏洞：CVE-2026-53683	Nessus	Misc.	2026/9/2	2026/11/7	medium
342344	Linux Distros 未修補弱點：CVE-2026-53683	Nessus	Misc.	2026/9/2	2026/11/7	medium
342344	Linux Distros のパッチ未適用の脆弱性: CVE-2026-53683	Nessus	Misc.	2026/9/2	2026/11/7	medium
342344	Linux Distros Unpatched Vulnerability : CVE-2026-53683	Nessus	Misc.	2026/9/2	2026/11/7	medium
381296	FreeBSD : FreeIPA -- multiple vulnerabilities (4d2a90c7-df51-11f1-a655-3497f65b111b)	Nessus	FreeBSD Local Security Checks	2026/11/14	2026/11/14	medium

偵測

搜尋 Plugin

medium

medium

medium

medium

medium