There are packages installed that are affected by a vulnerability referenced in the following CVE:

  - Vite is a frontend tooling framework for JavaScript. Prior to 6.4.4, 7.3.7, 8.1.6, 8.2.4, and 8.3.3,
    import analysis can record a root-relative browser URL in safeModulePaths instead of the cleaned resolved
    module identifier. On a network-accessible, non-Windows development server, an imported project file whose
    URL matches an absolute host path can authorize a later raw-filesystem request for that host file,
    provided server.fs.deny does not block it. The request can disclose the matching file outside the project
    root, but it does not allow arbitrary path traversal because the host path must correspond to a project-
    relative URL authorized by the application graph. This issue is fixed in versions 6.4.4, 7.3.7, 8.1.6,
    8.2.4, and 8.3.3. (CVE-2026-112946)

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且廠商未提供可用的修補程式。

  - Vite 是 JavaScript 的前端工具框架。在 6.4.4、 、 8.1.68.2.48.3.3和 之前，匯入分析可以在 safeModulePaths 7.3.7中記錄根相對瀏覽器 URL，而不是清除的已解析模組 ID。在可存取網路的非 Windows 開發伺服器上，URL 符合絕對主機路徑的匯入專案檔案可以授權該主機檔案的後續原始檔案系統要求，前提是 server.fs.deny 不會封鎖它。要求可以在專案根目錄之外揭露相符的檔案，但不允許任意路徑遊走，因為主機路徑必須對應至應用程式圖形授權的專案相對 URL。此問題已在 6.4.4、7.3.7、8.1.6、8.2.4 和 8.3.3 版中修正。(CVE-2026-112946)

請注意，Nessus 的判定取決於廠商所報告的套件是否存在。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - Vite 是 JavaScript 的前端工具框架。在 、 7.3.7、 8.1.68.2.48.3.3和 之前，6.4.4导入分析可在 safeModulePaths 中记录一个根相关浏览器 URL，而不是已清除的已解析模块标识符。在网络可访问的非 Windows 开发服务器上，只要 server.fs.deny 不阻断，URL 符合绝对主机路径的导入项目文件可授权针对该主机文件的后续原始文件系统请求。该请求可能会泄露项目根之外的匹配文件，但不允许任意路径遍历，因为主机路径必须对应于应用程序图授权的项目相关 URL。此问题已在 6.4.4、7.3.7、8.1.6、8.2.4 及 8.3.3 版本中得到修补。(CVE-2026-112946)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - Vite は JavaScript 用のフロントエンドツールフレームワークです。6.4.4、7.3.7、8.1.6、8.2.4、8.3.3より前では、インポート分析では、クリーンアップされた解決済みモジュール識別子の代わりに、ルート相対のブラウザーURLをsafeModulePathsに記録できます。ネットワークにアクセス可能な、非Windows開発サーバーでは、URLが絶対ホストパスと一致するインポートされたプロジェクトファイルが、server.fs.denyがブロックしない場合に限り、そのホストファイルに対するその後のraw-filesystemリクエストを承認する可能性があります。このリクエストは、プロジェクトルートの外部で一致するファイルを漏えいさせる可能性がありますが、ホストパスはアプリケーショングラフによって承認されたプロジェクト相対URLに対応する必要があるため、任意のパストラバーサルは許可されません。この問題はバージョン 6.4.4、7.3.7、8.1.6、8.2.4、および 8.3.3 で修正されています。(CVE-2026-112946)

Nessus は、ベンダーから報告されたパッケージの存在に依存していることに注意してください。

The Linux/Unix host has one or more packages installed that are impacted by a vulnerability without a vendor supplied patch available.

  - Vite is a frontend tooling framework for JavaScript. Prior to 6.4.4, 7.3.7, 8.1.6, 8.2.4, and 8.3.3,     import analysis can record a root-relative browser URL in safeModulePaths instead of the cleaned resolved     module identifier. On a network-accessible, non-Windows development server, an imported project file whose     URL matches an absolute host path can authorize a later raw-filesystem request for that host file,     provided server.fs.deny does not block it. The request can disclose the matching file outside the project     root, but it does not allow arbitrary path traversal because the host path must correspond to a project-     relative URL authorized by the application graph. This issue is fixed in versions 6.4.4, 7.3.7, 8.1.6,     8.2.4, and 8.3.3. (CVE-2026-112946)

Note that Nessus relies on the presence of the package as reported by the vendor.

ID	名稱	產品	系列	已發布	已更新	嚴重性
476550	SCA: security update for vite, vite-plus (GHSA-rq7h-c2jc-7f22)	Tenable Cloud Security	SCA Checks	2026/10/21	2026/10/21	medium
476550	SCA: security update for vite, vite-plus (GHSA-rq7h-c2jc-7f22)	Tenable Self-Hosted Container Security	SCA Checks	2026/10/21	2026/10/21	medium
372852	Linux Distros 未修補弱點：CVE-2026-112946	Nessus	Misc.	2026/10/28	2026/10/28	medium
372852	Linux Distros 未修补的漏洞：CVE-2026-112946	Nessus	Misc.	2026/10/28	2026/10/28	medium
372852	Linux Distros のパッチ未適用の脆弱性: CVE-2026-112946	Nessus	Misc.	2026/10/28	2026/10/28	medium
372852	Linux Distros Unpatched Vulnerability : CVE-2026-112946	Nessus	Misc.	2026/10/28	2026/10/28	medium

偵測

搜尋 Plugin

medium

medium

medium

medium

medium

medium