遠端主機上安裝的 IBM Cognos Analytics 版本在 12.0.4 FP3 之前 12.0.4 ，或 12.1.x 在 FP2 之前 12.1.3 。因此，它會受到 IBM 安全公告 No.
7287209:

  - NLTK 版本 3.9.2 和更早版本由於 StanfordSegmenter 模組中的輸入驗證不當而容易受到任意程式碼執行的影響。此模組會動態載入外部Java.jar檔案，而無需驗證或沙箱。攻擊者可以提供或取代 JAR 檔案，從而在匯入時執行任意 Java 位元組碼。（CVE-2026-0848）

  - lodash 修正，用於 CVE-2021-23337 新增 _.template 中變數選項的驗證，但未對 options.imports 索引鍵名稱套用相同的驗證。這兩個路徑都將匯入相同的 Function() 建構函式接收器。當應用程式將未受信任的輸入作為 options.imports 金鑰名稱傳遞時，攻擊者可插入用於在範本編譯時執行任意程式碼的預設參數運算式。
    (CVE-2026-4800)

  - cryptography 套件用於向 Python 開發人員公開密碼編譯原語和配方。
    從 45.0.0 到 以前 46.0.7，如果將不連續的緩衝區傳遞給接受 Python 緩衝區的 API（例如 Hash.update（）），這可能會導致緩衝區溢位。（CVE-2026-39892）

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且廠商未提供可用的修補程式。

  - Axios 是一個基於承諾的 HTTP 用戶端，適用於瀏覽器與Node.js。從 1.0.0 到 之前 1.15.1，FormDataPart 建構子在 lib/helpers/formDataToStream.js 中直接插值 value.type 到每個多部分的 Content-Type 標頭，且不淨化 CRLF （\r\n） 序列。控制 Blob/File（類似 Blob/File）物件的 .type 屬性的攻擊者（例如透過 Node.js 代理服務中使用者上傳的檔案）可以將任意的 MIME 部分標頭注入多部分表單資料體中。這繞過了 v18+ 內建的標頭保護Node.js因為注入目標是多部分主體結構，而非 HTTP 請求標頭。此弱點已在 1.15.1 中修正。(CVE-2026-42037)

請注意，Nessus 依賴供應商報告的套件存在。

遠端主機上安裝的 Node.js 模組為 1.15.1 之前的版本，因此，該應用程式受到以下弱點影響：

  - 透過 formDataToStream 中未清理的 blob.type 在 multipart/form-data 內文中插入 CRLF。（CVE-2026-42037）

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

ID	名稱	產品	系列	已發布	已更新	嚴重性
347960	IBM Cognos Analytics 12.0.4 < 12.0.4 FP3 / 12.1.x < 12.1.3 FP2 多個弱點（7287209）	Nessus	CGI abuses	2026/9/18	2026/9/21	high
310469	Linux Distros 未修補的弱點：CVE-2026-42037	Nessus	Misc.	2026/4/27	2026/11/1	medium
313223	Node.js 模組 axios < 1.15.1 CRLF 注入（CVE-2026-42037）	Nessus	Misc.	2026/5/8	2026/5/11	medium

偵測

搜尋 Plugin

high

medium

medium