There are packages installed that are affected by a vulnerability referenced in the following CVE:

  - fast-xml-parser allows users to validate XML, parse XML to JS object, or build XML from JS object without
    C/C++ based libraries and no callback. From 4.1.3to before 5.3.5, a dot (.) in a DOCTYPE entity name is
    treated as a regex wildcard during entity replacement, allowing an attacker to shadow built-in XML
    entities (&lt;, &gt;, &amp;, &quot;, &apos;) with arbitrary values. This bypasses entity encoding and
    leads to XSS when parsed output is rendered. This vulnerability is fixed in 5.3.5. (CVE-2026-25896)

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且供應商未提供可用的修補程式。

  - fast-xml-parser 允許使用者在無 C/C++ 型程式庫和無回呼的情況下驗證 XML、將 XML 剖析為 JS 物件或從 JS 物件構建 XML。從 4.1.3 版到 5.3.5之前的版本中DOCTYPE 實體名稱中的點 (.) 在實體取代期間會被視為 regex 萬用字元進而允許攻擊者使用任意值。這會繞過實體編碼並在轉譯已剖析的輸出時導致 XSS。此弱點已在 5.3.5 中修復。(CVE-2026-25896)

請注意，Nessus 依賴供應商報告的套件存在。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - fast-xml-parser 允许用户验证 XML、将 XML 解析为 JS 对象或从 JS 对象构建 XML，无需基于 C/C++ 的库且无回调。从 4.1.3 到 5.3.5之前DOCTYPE 实体名称中的点 (.) 在实体替换期间被视为 regex 通配符从而允许攻击者通过任意字符遮蔽内置 XML 实体<、>、&、'。值。这会绕过实体编码并在呈现解析的输出时导致 XSS。此漏洞已在 5.3.5 中修复。(CVE-2026-25896)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - fast-xml-parser を使用すると、ユーザーは C/C++ ベースのライブラリやコールバックなしで XML を検証したり、XML を JS オブジェクトに解析したり、JS オブジェクトから XML を構築したりできます。 5.3.5より前の 4.1.3 では、DOCTYPE エンティティ名のドット.が、エンティティ置換中に正規表現ワイルドカードとして扱われます。これにより、攻撃者が任意の可能性があります。これにより、エンティティエンコーディングがバイパスされ、解析された出力がレンダリングされるときに XSS が発生します。この脆弱性は 5.3.5 で修正されました。(CVE-2026-25896)

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

The Linux/Unix host has one or more packages installed that are impacted by a vulnerability without a vendor supplied patch available.

  - fast-xml-parser allows users to validate XML, parse XML to JS object, or build XML from JS object without     C/C++ based libraries and no callback. From 4.1.3to before 5.3.5, a dot (.) in a DOCTYPE entity name is     treated as a regex wildcard during entity replacement, allowing an attacker to shadow built-in XML     entities (<, >, &, , ') with arbitrary values. This bypasses entity encoding and     leads to XSS when parsed output is rendered. This vulnerability is fixed in 5.3.5. (CVE-2026-25896)

Note that Nessus relies on the presence of the package as reported by the vendor.

ID	名稱	產品	系列	已發布	已更新	嚴重性
437911	SCA: security update for fast-xml-parser (GHSA-m7jm-9gc2-mpf2)	Tenable Self-Hosted Container Security	SCA Checks	2026/2/20	2026/7/2	high
437911	SCA: security update for fast-xml-parser (GHSA-m7jm-9gc2-mpf2)	Tenable Cloud Security	SCA Checks	2026/2/20	2026/7/2	high
299725	Linux Distros 未修補的弱點：CVE-2026-25896	Nessus	Misc.	2026/2/21	2026/7/16	high
299725	Linux Distros 未修补的漏洞：CVE-2026-25896	Nessus	Misc.	2026/2/21	2026/7/16	high
299725	Linux Distros のパッチ未適用の脆弱性: CVE-2026-25896	Nessus	Misc.	2026/2/21	2026/7/16	high
299725	Linux Distros Unpatched Vulnerability : CVE-2026-25896	Nessus	Misc.	2026/2/21	2026/7/16	high

偵測

搜尋 Plugin

high

high

high

high

high

high