Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且供應商未提供可用的修補程式。

  - joserfc 是一個 Python 程式庫，可提供數個 JSON 物件簽署和加密 (JOSE) 標準的實作。在之前 1.7.4，joserfc.jws.deserialize_json（） 接受具有空簽名陣列的 JWS 一般 JSON 序列化作為驗證。verify_general_json（） 迴圈不會對空陣列執行任何反覆專案，並傳回成功，因為沒有簽章檢查失敗，因此沒有簽署金鑰的攻擊者可以提供任意承載，依賴的應用程式可能會將其視為真實。此問題會影響一般 JSON 序列化路徑;緊湊的 JWS 和 JWT 解碼、扁平化 JSON 序列化和 JWE JSON 處理不會遵循此易受攻擊的路徑。1.7.4 版已修正此問題。
    (CVE-2026-102946)

請注意，Nessus 依賴供應商報告的套件存在。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - joserfc 是一个 Python 库，可提供多种 JSON 对象签名和加密 (JOSE) 标准的实现。在版本之前 1.7.4，joserfc.jws.deserialize_json（） 接受具有空签名数组的 JWS 常规 JSON 序列化作为认证。由于没有签名检查失败，verify_general_json（） 循环不对空数组执行任何迭代并返回成功，从而允许没有签名密钥的攻击者提供依赖的应用程序可能视为真实的任意负载。该问题影响常规 JSON 序列化路径;压缩 JWS 和 JWT 解码、Flattened JSON 序列化以及 JWE JSON 处理未遵循此漏洞路径。此问题已在 1.7.4 版本中修复。
    (CVE-2026-102946)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

リモートのopenSUSE 16ホストには、openSUSE- SU-2026:22136-1アドバイザリに記載された脆弱性の影響を受けるパッケージがインストールされています。

    python-joserfc の変更点:

    - CVE-2026-102946:空の署名配列を介して JWS 署名認証がバイパスされる可能性があります(bsc#1285840)

Tenable は、前述の記述ブロックを SUSE セキュリティアドバイザリから直接抽出しています。

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - joserfc は、いくつかの JSON Object Signing and Encryption (JOSE) 標準の実装を提供する Python ライブラリです。1.7.4より前に、joserfc.jws.deserialize_json()は空の署名配列を持つJWS汎用JSONシリアル化を認証済みとして受け入れます。verify_general_json() ループは、署名チェックが失敗しなかったため、空の配列に対して反復を実行せず成功を返します。これにより、署名キーのない攻撃者が、依存するアプリケーションが本物として処理する可能性がある任意のペイロードを提供できます。この問題は、一般的な JSON シリアル化パスに影響を与えます。コンパクトな JWS および JWT デコーディング、フラット化された JSON シリアル化、および JWE JSON 処理は、この脆弱なパスをたどりません。この問題はバージョン 1.7.4 で修正されています。
    (CVE-2026-102946)

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

The remote openSUSE 16 host has a package installed that is affected by a vulnerability as referenced in the openSUSE- SU-2026:22136-1 advisory.

    Changes in python-joserfc:

    - CVE-2026-102946: JWS signature verification can be bypassed via empty       signatures array (bsc#1285840)

Tenable has extracted the preceding description block directly from the SUSE security advisory.

Note that Nessus has not tested for this issue but has instead relied only on the application's self-reported version number.

The Linux/Unix host has one or more packages installed that are impacted by a vulnerability without a vendor supplied patch available.

  - joserfc is a Python library that provides an implementation of several JSON Object Signing and Encryption     (JOSE) standards. Prior to 1.7.4, joserfc.jws.deserialize_json() accepts a JWS General JSON Serialization     with an empty signatures array as authenticated. The verify_general_json() loop performs no iterations for     the empty array and returns success because no signature check failed, allowing an attacker without a     signing key to supply an arbitrary payload that relying applications may treat as authentic. The issue     affects the General JSON Serialization path; compact JWS and JWT decoding, Flattened JSON serialization,     and JWE JSON processing do not follow this vulnerable path. This issue is fixed in version 1.7.4.
    (CVE-2026-102946)

Note that Nessus relies on the presence of the package as reported by the vendor.

ID	名稱	產品	系列	已發布	已更新	嚴重性
366831	Linux Distros 未修補弱點：CVE-2026-102946	Nessus	Misc.	2026/10/17	2026/10/28	critical
366831	Linux Distros 未修补的漏洞：CVE-2026-102946	Nessus	Misc.	2026/10/17	2026/10/28	critical
370416	openSUSE 16 セキュリティ更新:python-joserfc(openSUSE-SU-2026:22136-1)	Nessus	SuSE Local Security Checks	2026/10/22	2026/10/22	critical
366831	Linux Distros のパッチ未適用の脆弱性: CVE-2026-102946	Nessus	Misc.	2026/10/17	2026/10/28	critical
370416	openSUSE 16 Security Update : python-joserfc (openSUSE-SU-2026:22136-1)	Nessus	SuSE Local Security Checks	2026/10/22	2026/10/22	critical
366831	Linux Distros Unpatched Vulnerability : CVE-2026-102946	Nessus	Misc.	2026/10/17	2026/10/28	critical

偵測

搜尋 Plugin

critical

critical

critical

critical

critical

critical