There are packages installed that are affected by a vulnerability referenced in the following CVE:

  - Crass is a Ruby CSS parser that is compliant with the CSS Syntax Level 3 specification. Prior to 1.0.8,
    Crass incorrectly treats a closing parenthesis after an escaped backslash as escaped while consuming the
    remnants of a bad URL. Crass therefore keeps declarations, style rules, or at-rules inside a bad URL token
    even though a browser treats them as live CSS. A sanitizer that parses untrusted CSS with Crass and
    reserializes it without rejecting the bad URL can allow CSS used for UI redress, external resource
    loading, or CSS-based data exfiltration, but this issue does not enable script execution in modern
    browsers. This issue is fixed in version 1.0.8. (CVE-2026-116695)

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - Crass 是一个符合 CSS 语法级别 3 规范的 Ruby CSS 解析器。在之前 1.0.8版本之前，Crass 在消耗错误 URL 的残余项时，错误地将转义反斜线后的右括号视为转义。因此，Crass 会将声明、样式规则或 at-rules 保留在错误的 URL 标记内，即使浏览器将其视为实时 CSS。审查器若使用 Crass 解析不受信任的 CSS 并重新序列化而不拒绝错误 URL，则可允许 CSS 用于 UI 修复、外部资源加载或基于 CSS 的数据渗漏，但此问题不会启用现代浏览器中的脚本执行。此问题已在 1.0.8 版本中修复。(CVE-2026-116695)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且廠商未提供可用的修補程式。

  - Crass 是一個符合 CSS 語法第 3 級規範的 Ruby CSS 解析器。在之前 1.0.8，Crass 在耗用錯誤 URL 的殘留項時，錯誤地將逸出反斜杠後的右括號視為逸出。因此，Crass 會將宣告、樣式規則或 at-rules 保留在錯誤的 URL 權杖中，即使瀏覽器將它們視為即時 CSS。使用 Crass 剖析不受信任的 CSS 並在不拒絕錯誤 URL 的情況下重新序列化的清理程式，可以允許 CSS 用於 UI 修復、外部資源載入或基於 CSS 的資料洩漏，但此問題無法在現代瀏覽器中啟用指令碼執行。1.0.8 版已修正此問題。(CVE-2026-116695)

請注意，Nessus 依賴供應商報告的套件存在。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - Crass は、CSS 構文レベル 3 仕様に準拠する Ruby CSS パーサーです。1.0.8以前では、Crass は、正しくない URL の残骸を消費しながら、エスケープされたバックスラッシュの後の右丸括弧を不適切にエスケープされたものとして扱っていました。このため Crass は、ブラウザがライブ CSS として扱う場合でも、宣言、スタイルルール、または at-rules を正しくない URL トークンの中に留めています。Crass で信頼できない CSS を解析し、不良な URL を拒否することなく再シリアル化するサニタイザーにより、CSS が UI の修正、外部リソースのロード、または CSS ベースのデータ抜きに使用される可能性があります。ただし、この問題は、最新のブラウザでスクリプトの実行を有効にするものではありません。この問題はバージョン 1.0.8 で修正されています。(CVE-2026-116695)

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

The Linux/Unix host has one or more packages installed that are impacted by a vulnerability without a vendor supplied patch available.

  - Crass is a Ruby CSS parser that is compliant with the CSS Syntax Level 3 specification. Prior to 1.0.8,     Crass incorrectly treats a closing parenthesis after an escaped backslash as escaped while consuming the     remnants of a bad URL. Crass therefore keeps declarations, style rules, or at-rules inside a bad URL token     even though a browser treats them as live CSS. A sanitizer that parses untrusted CSS with Crass and     reserializes it without rejecting the bad URL can allow CSS used for UI redress, external resource     loading, or CSS-based data exfiltration, but this issue does not enable script execution in modern     browsers. This issue is fixed in version 1.0.8. (CVE-2026-116695)

Note that Nessus relies on the presence of the package as reported by the vendor.

ID	名稱	產品	系列	已發布	已更新	嚴重性
477764	SCA: security update for crass (GHSA-pq4g-8rxf-4g29)	Tenable Cloud Security	SCA Checks	2026/10/29	2026/10/29	medium
477764	SCA: security update for crass (GHSA-pq4g-8rxf-4g29)	Tenable Self-Hosted Container Security	SCA Checks	2026/10/29	2026/10/29	medium
372974	Linux Distros 未修补的漏洞：CVE-2026-116695	Nessus	Misc.	2026/10/28	2026/10/28	medium
372974	Linux Distros 未修補弱點：CVE-2026-116695	Nessus	Misc.	2026/10/28	2026/10/28	medium
372974	Linux Distros のパッチ未適用の脆弱性: CVE-2026-116695	Nessus	Misc.	2026/10/28	2026/10/28	medium
372974	Linux Distros Unpatched Vulnerability : CVE-2026-116695	Nessus	Misc.	2026/10/28	2026/10/28	medium

偵測

搜尋 Plugin

medium

medium

medium

medium

medium

medium