Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - 之前的 Perl Mojolicious 版本4.599.48向 BREACH 压缩 oracle 公开会话 CSRF 标记的稳定表示。 _csrf_token 为每个会话生成和缓存一个标记，并在每个调用中返回相同的值，_csrf_field将该值放在隐藏的“csrf_token”输入中。当携带标记的响应也发回攻击者控制的输入并经过 gzip 压缩时，所选值和产生的压缩长度将形成 BREACH oracle。能够对其进行查询的攻击者可以恢复标记并通过csrf_protect验证。（CVE-2026-15747）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且廠商未提供可用的修補程式。

  - Perl 之前9.48的 4.59 Mojolicious 版本將工作階段 CSRF 權杖的穩定表示形式公開給 BREACH 壓縮預言機。 _csrf_token 為每個會話產生並快取一個權杖，並在每次呼叫時傳回相同的值，_csrf_field將該值放在隱藏的「csrf_token」輸入中。當帶有令牌的回應也回應攻擊者控制的輸入並經過 gzip 壓縮時，所選值和產生的壓縮長度會形成 BREACH 預言機。能夠查詢它的攻擊者可以復原權杖並通過csrf_protect驗證。（CVE-2026-15747）

請注意，Nessus 的判定取決於廠商所報告的套件是否存在。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - Perl 用に9.48する前の 4.59 からの Mojolicious バージョンは、セッション CSRF トークンの安定した表現を BREACH 圧縮オラクルにさらします。 _csrf_token は、セッションごとに 1 つのトークンを生成してキャッシュし、各呼び出しで同じ値を返すことで、_csrf_field非表示の「csrf_token」入力にその値を配置します。トークンを運ぶ応答が攻撃者の制御する入力もエコーし、gzip 圧縮されている場合、選択された値と結果として生じる圧縮された長さが BREACH オラクルを形成します。これにクエリが可能な攻撃者が、トークンを復元し、csrf_protect検証に合格する可能性があります。(CVE-2026-15747)

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

リモートのSUSE Linux SLES15 ホストには、SUSE- SU-2026:4151-1アドバイザリに記載されている脆弱性の影響を受けるパッケージがインストールされています。

    perl-Mojolicious 用のこの更新は、次の問題を修正します:

    - CVE-2026-15747:セッション CSRF トークンの安定した表現を BREACH 圧縮オラクル(bsc#1271431)にさらします。

Tenable は、前述の記述ブロックを SUSE セキュリティアドバイザリから直接抽出しています。

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートのopenSUSE 16ホストには、openSUSE- SU-2026:21496-1アドバイザリに記載された脆弱性の影響を受けるパッケージがインストールされています。

    perl-Mojolicious の変更:

    - 9.480.0 へ更新済み(9.48)
        - CSRF トークンが BREACH 攻撃に脆弱なセキュリティ問題を修正しました。トークンは、セッションの全期間にわたって再使用されるのではなく、リクエストごとに新しいランダム値でマスクされるようになりました。
          CVE-2026-15747 bsc#1271431

    - 9.470.0 へ更新済み(9.47)
        - RFC 10008 からの QUERY HTTP リクエストメソッドのサポートを追加しました。
        - クエリとquery_pのメソッドを Mojo::UserAgent に追加しました。
        - クエリメソッドを Mojolicious::Routes::Route に追加しました。
        - クエリメソッドを Mojolicious::Lite に追加しました。
        - Test::Mojo にquery_okメソッドを追加しました。
        - Mojo::JSON の pure-Perl 実装が、深くネスト化したデータをデコードする際に、利用可能なすべてのメモリを使い果たす可能性があるセキュリティ問題を修正しました。デコードは、デフォルトである Cpanel::JSON::XS に一致させるために、ネスト化の 512 レベルに制限されるようになりました。
        - Morbo でのメモリ漏洩が修正されました。(平衣少年戦)
        - Mojo::File::list_tree を修正し、ディレクトリへのシンボリックリンクをたどらないようにしました。

    - 9.460.0 へ更新済み(9.46)
        - random_bytes 関数を Mojo::Util に追加しました。 (leont)
        - CSRF トークン生成のランダム性を改善しました。(Leont)
        - Mojo::IOLoop::TLS でのtls_options処理を修正しました。(krauro)
        - Mojo::D OM::CSS での属性セレクターに関する仕様のコンプライアンス問題を修正しました。

    - 9.450.0 へ更新済み(9.45)
        - WebSocket テストのポータビリティの問題を修正。
        - Mojo::D OM の様々な仕様コンプライアンス問題を修正。
        - Mojo::Transaction::WebSocket での permessage-deflate サポートを修正し、仕様非準拠の実装との相互運用性を高めました。
        - Mojo::Util の punycode のラウンドトリップのバグを修正しました。
        - Mojo::File::list_tree のWindows互換性の問題を修正しました。

    - 9.420.0 へ更新済み(9.42)
        - Mojo::File の spurt メソッドが非推奨になりました。現在は spew の代替手段です。
        - Mojo::P romise のトップレベルの await サポートから実験的状態を削除しました。
        - 暗号化されたセッションクッキーのサポートから実験状態を削除しました。
        - 永続的なクッキーのサポートから実験的な状態を削除しました。
        - samesite クッキーサポートから実験的な状態を削除しました。
        - カラフルなログメッセージから実験状態を削除しました。
        - Mojo::IOLoop のフリーズオプションから実験状態を削除しました。
        - Mojo::Exception での check および raise 関数から実験的な状態を削除しました。
        - Cpanel::JSON::XS の互換性の問題を修正しました。(ilmari)
        - Mojo::P romise の async/await メモリリークを修正しました。(TFBW)

Tenable は、前述の記述ブロックを SUSE セキュリティアドバイザリから直接抽出しています。

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートの Fedora 44 ホストには、FEDORA-2026-4334fd85bc のアドバイザリに記載された脆弱性の影響を受けるパッケージがインストールされています。

    Mojolicious 9.48 により、CSRF トークンが BREACH 攻撃に対して脆弱なセキュリティ問題が修正されます。トークンは、セッションの全期間にわたって再使用されるのではなく、リクエストごとに新しいランダム値でマスクされるようになりました。

Tenable は、前述の記述ブロックを Fedora セキュリティアドバイザリから直接抽出しています。

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートの Fedora 43 ホストには、FEDORA-2026-6f12b08313 のアドバイザリに記載された脆弱性の影響を受けるパッケージがインストールされています。

    Mojolicious 9.48 により、CSRF トークンが BREACH 攻撃に対して脆弱なセキュリティ問題が修正されます。トークンは、セッションの全期間にわたって再使用されるのではなく、リクエストごとに新しいランダム値でマスクされるようになりました。

Tenable は、前述の記述ブロックを Fedora セキュリティアドバイザリから直接抽出しています。

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

The Linux/Unix host has one or more packages installed that are impacted by a vulnerability without a vendor supplied patch available.

  - Mojolicious versions from 4.59 before 9.48 for Perl expose a stable representation of the session CSRF     token to a BREACH compression oracle. _csrf_token generates and caches one token per session and returns     the same value on every call, and _csrf_field places that value in a hidden `csrf_token` input. When a     response carrying the token also echoes attacker-controlled input and is gzip-compressed, the chosen     values and the resulting compressed lengths form a BREACH oracle. An attacker able to query it can recover     the token and pass csrf_protect validation. (CVE-2026-15747)

Note that Nessus relies on the presence of the package as reported by the vendor.

The remote openSUSE 16 host has a package installed that is affected by a vulnerability as referenced in the openSUSE- SU-2026:21451-1 advisory.

    Changes in perl-Mojolicious:

    - updated to 9.480.0 (9.48)
        - Fixed a security issue where CSRF tokens were vulnerable to BREACH attacks. Tokens are now masked     with a fresh           random value on every request, instead of being reused for the whole lifetime of a session.
          CVE-2026-15747 bsc#1271431

    - updated to 9.470.0 (9.47)
        - Added support for the QUERY HTTP request method from RFC 10008.
        - Added query and query_p methods to Mojo::UserAgent.
        - Added query method to Mojolicious::Routes::Route.
        - Added query method to Mojolicious::Lite.
        - Added query_ok method to Test::Mojo.
        - Fixed a security issue where the pure-Perl implementation of Mojo::JSON could exhaust all available     memory when           decoding deeply nested data. Decoding is now limited to 512 levels of nesting, to match the default     of           Cpanel::JSON::XS.
        - Fixed a memory leak in Morbo. (heikojansen)
        - Fixed Mojo::File::list_tree to no longer follow symbolic links to directories.

    - updated to 9.460.0 (9.46)
        - Added random_bytes function to Mojo::Util. (leont)
        - Improved randomness for CSRF token generation. (leont)
        - Fixed tls_options handling in Mojo::IOLoop::TLS. (krauro)
        - Fixed spec compliance issue with attribute selectors in Mojo::DOM::CSS.

    - updated to 9.450.0 (9.45)
        - Fixed portability issue in WebSocket tests.
        - Fixed various spec compliance issues in Mojo::DOM.
        - Fixed permessage-deflate support in Mojo::Transaction::WebSocket to be more interoperable with non-     spec compliant           implementations.
        - Fixed punycode roundtrip bug in Mojo::Util.
        - Fixed Windows compatibility issues of Mojo::File::list_tree.

    - updated to 9.420.0 (9.42)
        - Un-deprecated the spurt method in Mojo::File, it is now an alternative to spew.
        - Removed experimental status from top-level await support in Mojo::Promise.
        - Removed experimental status from encrypted session cookie support.
        - Removed experimental status from persistent cookie support.
        - Removed experimental status from samesite cookie support.
        - Removed experimental status from colourful log messages.
        - Removed experimental status from freeze option in Mojo::IOLoop.
        - Removed experimental status from check and raise functions in Mojo::Exception.
        - Fixed Cpanel::JSON::XS compatibility issues. (ilmari)
        - Fixed async/await memory leak in Mojo::Promise. (TFBW)

Tenable has extracted the preceding description block directly from the SUSE security advisory.

Note that Nessus has not tested for this issue but has instead relied only on the application's self-reported version number.

The remote SUSE Linux SLES15 host has a package installed that is affected by a vulnerability as referenced in the SUSE- SU-2026:4151-1 advisory.

    This update for perl-Mojolicious fixes the following issue:

    - CVE-2026-15747: exposing a stable representation of the session CSRF token to a BREACH compression     oracle       (bsc#1271431).

Tenable has extracted the preceding description block directly from the SUSE security advisory.

Note that Nessus has not tested for this issue but has instead relied only on the application's self-reported version number.

The remote Fedora 44 host has a package installed that is affected by a vulnerability as referenced in the FEDORA-2026-4334fd85bc advisory.

    Mojolicious 9.48 fixes a security issue where CSRF tokens were vulnerable to BREACH attacks. Tokens are     now masked with a fresh random value on every request, instead of being reused for the whole lifetime of a     session.

Tenable has extracted the preceding description block directly from the Fedora security advisory.

Note that Nessus has not tested for this issue but has instead relied only on the application's self-reported version number.

The remote openSUSE 16 host has a package installed that is affected by a vulnerability as referenced in the openSUSE- SU-2026:21496-1 advisory.

    Changes in perl-Mojolicious:

    - updated to 9.480.0 (9.48)
        - Fixed a security issue where CSRF tokens were vulnerable to BREACH attacks. Tokens are now masked     with a fresh           random value on every request, instead of being reused for the whole lifetime of a session.
          CVE-2026-15747 bsc#1271431

    - updated to 9.470.0 (9.47)
        - Added support for the QUERY HTTP request method from RFC 10008.
        - Added query and query_p methods to Mojo::UserAgent.
        - Added query method to Mojolicious::Routes::Route.
        - Added query method to Mojolicious::Lite.
        - Added query_ok method to Test::Mojo.
        - Fixed a security issue where the pure-Perl implementation of Mojo::JSON could exhaust all available     memory when           decoding deeply nested data. Decoding is now limited to 512 levels of nesting, to match the default     of           Cpanel::JSON::XS.
        - Fixed a memory leak in Morbo. (heikojansen)
        - Fixed Mojo::File::list_tree to no longer follow symbolic links to directories.

    - updated to 9.460.0 (9.46)
        - Added random_bytes function to Mojo::Util. (leont)
        - Improved randomness for CSRF token generation. (leont)
        - Fixed tls_options handling in Mojo::IOLoop::TLS. (krauro)
        - Fixed spec compliance issue with attribute selectors in Mojo::DOM::CSS.

    - updated to 9.450.0 (9.45)
        - Fixed portability issue in WebSocket tests.
        - Fixed various spec compliance issues in Mojo::DOM.
        - Fixed permessage-deflate support in Mojo::Transaction::WebSocket to be more interoperable with non-     spec compliant           implementations.
        - Fixed punycode roundtrip bug in Mojo::Util.
        - Fixed Windows compatibility issues of Mojo::File::list_tree.

    - updated to 9.420.0 (9.42)
        - Un-deprecated the spurt method in Mojo::File, it is now an alternative to spew.
        - Removed experimental status from top-level await support in Mojo::Promise.
        - Removed experimental status from encrypted session cookie support.
        - Removed experimental status from persistent cookie support.
        - Removed experimental status from samesite cookie support.
        - Removed experimental status from colourful log messages.
        - Removed experimental status from freeze option in Mojo::IOLoop.
        - Removed experimental status from check and raise functions in Mojo::Exception.
        - Fixed Cpanel::JSON::XS compatibility issues. (ilmari)
        - Fixed async/await memory leak in Mojo::Promise. (TFBW)

Tenable has extracted the preceding description block directly from the SUSE security advisory.

Note that Nessus has not tested for this issue but has instead relied only on the application's self-reported version number.

The remote Fedora 43 host has a package installed that is affected by a vulnerability as referenced in the FEDORA-2026-6f12b08313 advisory.

    Mojolicious 9.48 fixes a security issue where CSRF tokens were vulnerable to BREACH attacks. Tokens are     now masked with a fresh random value on every request, instead of being reused for the whole lifetime of a     session.

Tenable has extracted the preceding description block directly from the Fedora security advisory.

Note that Nessus has not tested for this issue but has instead relied only on the application's self-reported version number.

ID	名稱	產品	系列	已發布	已更新	嚴重性
326913	Linux Distros 未修补的漏洞：CVE-2026-15747	Nessus	Misc.	2026/7/15	2026/9/2	critical
326913	Linux Distros 未修補弱點：CVE-2026-15747	Nessus	Misc.	2026/7/15	2026/9/2	critical
326913	Linux Distros のパッチ未適用の脆弱性: CVE-2026-15747	Nessus	Misc.	2026/7/15	2026/9/2	critical
346213	SUSE SLES15 セキュリティ更新:perl-Mojolicious(SUSE-SU-2026:4151-1)	Nessus	SuSE Local Security Checks	2026/9/16	2026/9/16	critical
331563	openSUSE 16 セキュリティ更新:perl-Mojolicious(openSUSE-SU-2026:21496-1)	Nessus	SuSE Local Security Checks	2026/8/1	2026/8/1	critical
330253	Fedora 44:perl-Mojolicious(2026-4334fd85bc)	Nessus	Fedora Local Security Checks	2026/7/28	2026/7/28	critical
330302	Fedora 43:perl-Mojolicious(2026-6f12b08313)	Nessus	Fedora Local Security Checks	2026/7/28	2026/7/28	critical
326913	Linux Distros Unpatched Vulnerability : CVE-2026-15747	Nessus	Misc.	2026/7/15	2026/9/2	critical
330585	openSUSE 16 Security Update : perl-Mojolicious (openSUSE-SU-2026:21451-1)	Nessus	SuSE Local Security Checks	2026/7/29	2026/7/29	critical
346213	SUSE SLES15 Security Update : perl-Mojolicious (SUSE-SU-2026:4151-1)	Nessus	SuSE Local Security Checks	2026/9/16	2026/9/16	critical
330253	Fedora 44 : perl-Mojolicious (2026-4334fd85bc)	Nessus	Fedora Local Security Checks	2026/7/28	2026/7/28	critical
331563	openSUSE 16 Security Update : perl-Mojolicious (openSUSE-SU-2026:21496-1)	Nessus	SuSE Local Security Checks	2026/8/1	2026/8/1	critical
330302	Fedora 43 : perl-Mojolicious (2026-6f12b08313)	Nessus	Fedora Local Security Checks	2026/7/28	2026/7/28	critical

偵測

搜尋 Plugin

critical

critical

critical

critical

critical

critical

critical

critical

critical

critical

critical

critical

critical