遠端 Redhat Enterprise Linux 9 主機上安裝的多個套件受到 RHSA-2026:74503 公告中提及的多個弱點影響。

    Red Hat Satellite 是一套系統管理解決方案，讓組織無須為其伺服器或其他用戶端系統提供公共網際網路存取，就可以設定和維護系統。可執行預先定義標準作業環境的佈建和組態管理。

    安全性修正：

    * rubygem-foreman_remote_execution：透過 effective_user 參數 （CVE-2026-12405） 在工作叫用中插入命令
    * Foreman：透過佈建權杖驗證缺陷，造成未經驗證的資訊洩露 （CVE-2026-12423）
    * foreman：透過 request_id 參數 （CVE-2026-12540） 在 foreman-rake errors：fetch_log 中的命令插入
    * foreman：foreman-rake 資料庫任務中的命令插入 （CVE-2026-12541）
    * foreman：foreman-tail （CVE-2026-12542） 中的命令插入
    * foreman：foreman-rake 組態中的 SSTI 和不安全的反序列化 （CVE-2026-12544）
    * rubygem-hammer_cli：透過不安全的編輯器叫用進行命令插入 （CVE-2026-12545）
    * python3.12-dynaconf： Dynaconf：透過伺服器端範本插入 （CVE-2026-33154） 執行任意程式碼
    * yggdrasil-worker-forwarder： Go encoding/asn1：透過 UnmarshalCVE-2026-33818 （） 中的過度遞迴造成拒絕服務
    * yggdrasil-worker-forwarder： Golang MIME：透過惡意製作的 MIME 標頭 （CVE-2026-42504） 造成拒絕服務
    * nodejs-sanitize-html： PostCSS：透過特製的 CSS 輸入 （CVE-2026-45623） 進行資訊洩露和拒絕服務
    * python-sqlparse： sqlparse：透過 SQL 剖析中的二次 CPU 消耗造成拒絕服務 （CVE-2026-54284）
    * python3.12-sqlparse： sqlparse： 透過 SQL 剖析中的二次 CPU 消耗造成拒絕服務 （CVE-2026-54284）
    * rubygem-katello：透過標籤 （CVE-2026-56097） 在登錄檔 Proxy 中插入 SQL
    * rubygem-katello：不當的授權邏輯允許資源列舉 （CVE-2026-56098）
    * yggdrasil-worker-forwarder：前往 html/template：透過病理輸入 （CVE-2026-56858） 進行跨網站指令碼
    * yggdrasil-worker-forwarder： golang net/url： 路徑解析中的二次複雜度導致的拒絕服務 （CVE-2026-56860）
    * yggdrasil-worker-forwarder： Golang crypto/tls： 透過無限期 KeyUpdate 訊息 （CVE-2026-56862） 造成拒絕服務
    * nodejs-connected-react-router： Immutable.js：由於清單作業中大索引值處理不當而導致的拒絕服務 （CVE-2026-59879）
    * nodejs-sass： Immutable.js：由於清單作業中大索引值處理不當而導致的拒絕服務 （CVE-2026-59879）
    * python-sqlparse： sqlparse：透過低效的 SQL 剖析造成拒絕服務 （CVE-2026-59893）
    * python3.12-sqlparse： sqlparse： 透過低效的 SQL 剖析造成拒絕服務 （CVE-2026-59893）
    * python-sqlparse： sqlparse：透過註解分組中的二次 CPU 消耗造成拒絕服務 （CVE-2026-71491）
    * python3.12-sqlparse： sqlparse： 透過註解分組中的二次 CPU 消耗造成拒絕服務 （CVE-2026-71491）
    * nodejs-css-loader： nanoid： 由於整數溢位 （CVE-2026-73086） 而產生可預測的 ID
    * nodejs-sanitize-html： nanoid：由於整數溢位 （CVE-2026-73086） 而產生可預測的 ID
    * nodejs-compression-webpack-plugin： fast-uri：透過重複的主機名稱百分比解碼 （） 進行伺服器端要求偽造 （CVE-2026-75899）
    * nodejs-mini-css-extract-plugin： fast-uri：透過重複的主機名稱百分比解碼 （） 進行伺服器端要求偽造 （CVE-2026-75899）
    * nodejs-webpack： fast-uri：透過重複的主機名稱百分比解碼 （） 進行伺服器端要求偽造 （CVE-2026-75899）
    * nodejs-compression-webpack-plugin： fast-uri： 透過跳過的 IDN 規範化 （CVE-2026-75931） 造成主機混淆
    * nodejs-mini-css-extract-plugin： fast-uri：透過略過的 IDN 標準化 （） 造成主機混淆 （CVE-2026-75931）
    * nodejs-webpack： fast-uri： 透過跳過 IDN 規範化 （） 造成主機混淆 （CVE-2026-75931）
    * nodejs-compression-webpack-plugin： fast-uri： 透過格式錯誤的 IPv6 正規化 （） 進行伺服器端要求偽造 （CVE-2026-75975）
    * nodejs-mini-css-extract-plugin： fast-uri：透過格式錯誤的 IPv6 正規化 （） 進行伺服器端要求偽造 （CVE-2026-75975）
    * nodejs-webpack： fast-uri：透過格式錯誤的 IPv6 正規化 （） 進行伺服器端要求偽造 （CVE-2026-75975）
    * python3.12-gitpython： GitPython：透過 TagReference.create（） （CVE-2026-78679） 讀取的任意檔案
    * rubygem-katello：Katello 內容檢視歷史記錄 API 跨組織授權繞過 （CVE-2026-79654）
    * nodejs-compression-webpack-plugin： fast-uri：透過未經驗證的連接埠序列化進行權限插入 （CVE-2026-84292）
    * nodejs-mini-css-extract-plugin： fast-uri：透過未經驗證的連接埠序列化插入授權單位 （CVE-2026-84292）
    * nodejs-webpack： fast-uri：透過未經驗證的連接埠序列化 （） 進行權限插入 （CVE-2026-84292）
    * nodejs-compression-webpack-plugin： fast-uri：透過不平衡的 URI 括號造成主機混淆可以繞過安全性原則 （CVE-2026-84394）
    * ： nodejs-mini-css-extract-pluginfast-uri：透過不平衡的 URI 括號造成主機混淆，可能會繞過安全性原則 （CVE-2026-84394）
    * nodejs-webpack： fast-uri：透過不平衡的 URI 括號造成主機混淆可能會繞過安全性原則 （CVE-2026-84394）
    * python3.12-gitpython： GitPython：透過 Git 目錄模擬進行遠端程式碼執行 （CVE-2026-87817）
    * 工頭：通往 RCE 的安全模式繞過 （CVE-2026-96658）
    * foreman：預覽時檢視者角色的權限過高 （CVE-2026-96659）

Tenable 已直接從 Red Hat Enterprise Linux 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且供應商未提供可用的修補程式。

  - Immutable.js 提供許多持續式不可變資料結構。在 4.3.9 和 5.1.8之前，List#set、List#setSize、List#setIn、List#updateIn 以及函式 set、setIn 和 updateIn 錯誤地處理 src/List.js 中 setListBounds 中 2 ** 30 到 2 ** 31 範圍內的索引或大小，導致一個空的 List 進入一個無法捕獲的無限迴圈，一個填充的 List 要無限制地分配，直到進程中止， 或 setSize 以無訊息方式包裝較大值。此問題已在 4.3.9 和 5.1.8 版中修正。(CVE-2026-59879)

請注意，Nessus 的判定取決於廠商所報告的套件是否存在。

ID	名稱	產品	系列	已發布	已更新	嚴重性
362390	RHEL 9：衛星非 6.19.5 同步更新（嚴重）（RHSA-2026:74503）	Nessus	Red Hat Local Security Checks	2026/10/1	2026/10/8	high
328706	Linux Distros 未修補弱點：CVE-2026-59879	Nessus	Misc.	2026/7/21	2026/10/8	high

偵測

搜尋 Plugin

high

high