There are packages installed that are affected by a vulnerability referenced in the following CVE:

  - Faraday is an HTTP client library abstraction layer that provides a common interface over many adapters.
    Prior to 2.14.1, Faraday's build_exclusive_url method (in lib/faraday/connection.rb) uses Ruby's URI#merge
    to combine the connection's base URL with a user-supplied path. Per RFC 3986, protocol-relative URLs (e.g.
    //evil.com/path) are treated as network-path references that override the base URL's host/authority
    component. This means that if any application passes user-controlled input to Faraday's get(), post(),
    build_url(), or other request methods, an attacker can supply a protocol-relative URL like
    //attacker.com/endpoint to redirect the request to an arbitrary host, enabling Server-Side Request Forgery
    (SSRF). This vulnerability is fixed in 2.14.1. (CVE-2026-25765)

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - Faraday 是一个 HTTP 客户端库抽象层可在许多适配器上提供通用接口。
    在在 2.14.1之前的版本中Faraday 的 build_exclusive_url 方法 (lib/faraday/connection.rb 中)使用 Ruby 的 URI#merge 将连接的基本 URL 与用户提供的路径合并。根据 RFC 3986协议相关的 URL如
    //evil.com/path 被视为网络路径引用会覆盖基本 URL 的主机/颁发机构组件。这意味着若任何应用程序将用户控制的输入传递到 Faraday 的 get()、post()、build_url() 或其他请求方法则攻击者可提供 //attacker.com/endpoint 之类与协议相关的 URL以便重定向输入。向任意主机发送请求启用服务器端请求伪造 (SSRF)。此漏洞已在 2.14.1 中修复。(CVE-2026-25765)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且供應商未提供可用的修補程式。

  - Faraday 是 HTTP 用戶端程式庫抽象層可在許多介面卡上提供通用介面。
    在 2.14.1之前Faraday 的 build_exclusive_url 方法 (在 lib/faraday/connection.rb 中) 使用 Ruby 的 URI#merge來結合連線的基底 URL 與使用者提供的路徑。根據 RFC 3986通訊協定相關 URL (例如
    //evil.com/path) 會被視為網路路徑參照會覆寫基礎 URL 的 host/authority 元件。這表示如果任何應用程式將使用者控制的輸入傳遞至 Faraday 的 get()、post()、build_url() 或其他要求方法攻擊者便可提供類似 //attacker.com/endpoint 的通訊協定相關 URL 來重新導向向任意主機發出要求進而啟用伺服器端要求偽造 (SSRF)。此弱點已在 2.14.1 中修復。(CVE-2026-25765)

請注意，Nessus 依賴供應商報告的套件存在。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - Faraday は、多数のアダプターに共通のインターフェイスを提供する HTTP クライアントライブラリ抽象化レイヤーです。
     2.14.1より前では、Faraday の build_exclusive_url メソッドlib/faraday/connection.rb 内が Ruby の URI#merge を使用して接続のベース URL をユーザー指定のパスと組み合わせます。RFC 3986 ごとに、プロトコル関連 URL (例
    //evil.com/pathは、ベースURLのホスト/権限コンポーネントをオーバーライドするネットワークパス参照として扱われます。これは、いずれかのアプリケーションが、ユーザーコントロールの入力を Faraday の get()、post()、build_url()、またはその他のリクエストメソッドに渡す場合、攻撃者が //attacker.com/endpoint のようなプロトコル関連の URL を提供して、これにより、サーバーサイドリクエストフォージェリSSRFが可能になります。この脆弱性は 2.14.1 で修正されました。(CVE-2026-25765)

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

An update of the rubygem package has been released.

The Linux/Unix host has one or more packages installed that are impacted by a vulnerability without a vendor supplied patch available.

  - Faraday is an HTTP client library abstraction layer that provides a common interface over many adapters.
    Prior to 2.14.1, Faraday's build_exclusive_url method (in lib/faraday/connection.rb) uses Ruby's URI#merge     to combine the connection's base URL with a user-supplied path. Per RFC 3986, protocol-relative URLs (e.g.
    //evil.com/path) are treated as network-path references that override the base URL's host/authority     component. This means that if any application passes user-controlled input to Faraday's get(), post(),     build_url(), or other request methods, an attacker can supply a protocol-relative URL like     //attacker.com/endpoint to redirect the request to an arbitrary host, enabling Server-Side Request Forgery     (SSRF). This vulnerability is fixed in 2.14.1. (CVE-2026-25765)

Note that Nessus relies on the presence of the package as reported by the vendor.

ID	名稱	產品	系列	已發布	已更新	嚴重性
437661	SCA: security update for faraday (GHSA-33mh-2634-fwr2)	Tenable Self-Hosted Container Security	SCA Checks	2026/2/10	2026/7/2	medium
437661	SCA: security update for faraday (GHSA-33mh-2634-fwr2)	Tenable Cloud Security	SCA Checks	2026/2/10	2026/7/2	medium
298451	Linux Distros 未修补的漏洞：CVE-2026-25765	Nessus	Misc.	2026/2/10	2026/9/2	medium
298451	Linux Distros 未修補的弱點：CVE-2026-25765	Nessus	Misc.	2026/2/10	2026/9/2	medium
298451	Linux Distros のパッチ未適用の脆弱性: CVE-2026-25765	Nessus	Misc.	2026/2/10	2026/9/2	medium
299048	Photon OS 5.0: Rubygem PHSA-2026-5.0-0762	Nessus	PhotonOS Local Security Checks	2026/2/14	2026/10/14	medium
332536	Photon OS 5.0: Rubygem PHSA-2026-5.0-91-0762	Nessus	PhotonOS Local Security Checks	2026/8/5	2026/11/2	medium
332199	Photon OS 5.0: Rubygem PHSA-2026-5.0-90-0762	Nessus	PhotonOS Local Security Checks	2026/8/5	2026/11/2	medium
298451	Linux Distros Unpatched Vulnerability : CVE-2026-25765	Nessus	Misc.	2026/2/10	2026/9/2	medium
333801	Photon OS 5.0: Rubygem PHSA-2026-5.0-92-0762	Nessus	PhotonOS Local Security Checks	2026/8/10	2026/11/2	medium

偵測

搜尋 Plugin

medium

medium

medium

medium

medium

medium

medium

medium

medium

medium