There are packages installed that are affected by a vulnerability referenced in the following CVE:

  - ApostropheCMS is an open-source Node.js content management system, and sanitize-html provides a simple
    HTML sanitizer with a clear API. Versions of sanitize-html prior to 2.17.5 use
    `allowedSchemesAppliedToAttributes` (default: `['href', 'src', 'cite']`) to gate the `naughtyHref()`
    function that blocks dangerous URI schemes like `javascript:` and `vbscript:`. The HTML specification
    defines 10+ attributes that accept URIs (`action`, `formaction`, `data`, `poster`, `background`, `ping`,
    `xlink:href`, `dynsrc`, `lowsrc`), but none of these are included in the default gate list. When a
    developer allows any of these attributes in their configuration, `javascript:` URIs pass through
    completely unmodified, enabling XSS. Version 2.17.5 patches the issue. (CVE-2026-53606)

リモートの SUSE Linux SLES15 ホストには、SUSE-SU-2026:4606-1 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    golang-github-prometheus-prometheus はバージョン 3.13.2 に更新されました:

    - セキュリティ問題:

      * CVE-2026-39821:Punycode ラベル処理における検証バイパスおよび権限昇格を修正しました(bsc#1266608)
      * CVE-2026-56852:unicode/norm 処理における切り捨てられた、または無効な UTF-8 入力における無限ループを修正しました(bsc#1272102)
      * CVE-2026-44990:許可されていない XMP 要素をサニタイズすることによって、新しい React UI に保存された XSS を修正しました(bsc#1275205)
      * CVE-2026-53606:XSS を有効にする可能性がある、sanitize-html の不完全な URI スキーム検証を修正しました(bsc#1269966)
      * CVE-2026-2303:mongo-driver の GSSAPI エラー処理におけるヒープ領域外読み取りを修正(bsc#1269856)
      * CVE-2025-4673:リダイレクトHTTPクライアントヘッダー転送を停止することによる認証情報漏洩を修正しました(bsc#1275206)
      * CVE-2023-45289:HTTP リダイレクトでのヘッダーとクッキーの転送を停止することによる認証情報の漏洩を修正しました(bsc#1275207)
      * CVE-2025-61686:react-router ストレージでの認証されていないファイルアクセスとパストラバーサルを修正しました(bsc#1270711)
      * CVE-2026-40181:react-router での相対パスを介した外部ドメインへのオープンリダイレクトのリスクを修正しました(bsc#1267528)
      * CVE-2026-42342:マニフェストエンドポイントでの際限のないパス拡張による DoS リスクを修正しました(bsc#1267538)
      * CVE-2026-42211:react-router のプロトタイプ汚染によるリモートコードの実行リスクを修正しました(bsc#1267534)
      * CVE-2026-39882:OpenTelemetry における上限なしの HTTP 応答読み取りによるメモリ枯渇を修正しました(bsc#1274221)
      * gRPC 依存関係を更新することで、潜在的なサービス拒否の脆弱性を修正しました
      * 32MB 制限を超える snappy 圧縮リクエストを拒否することで、メモリ枯渇と DoS を修正しました

    - バグの修正と変更:

      * SD 構成が急激に変更されたときに、スクレイプマネージャーが適切にリロードできない問題を修正しました。
      * 受信エンドポイントが利用できない場合、リモート書き込みパスでのメモリリークを防ぎます。
      * ネイティブのヒストグラムは実験的ではありません。これらは、本番環境のワークロードで完全にサポートされています。
      * Prometheus UI 内で OpenTelemetry トレースのサポートを追加し、メトリクスとトレースを関連付けるようになりました。
      * ブロックマージアルゴリズムの改良により最適化された TSDB コンパクション速度。
      * 単一の HTTP/2 接続を使用して、複数のターゲットのスクレイピングを許可し、オーバーヘッドを削減します。
      * ルール評価エンジンの健全性を監視するための新しいメトリクスを追加しました。
      * 互換性なし: これは、スクレイピング、リモート読み取りと書き込み、アラート、および SD に影響します。リダイレクトを回避するためにネットワークパスの調整が必要な場合があります。
      * 非互換性:ルールグループページネーショントークンは、MD5 ではなく SHA-256 を使用するようになりました。カスタム API コンシューマーは、新しい長いトークン形式に適応する必要があります。
      * 結果の数を制限するために「group_limit」パラメーターを PromQL 集計に追加しました。
      * 非互換性:構成ファイルの promtool 相対パスが、現在の作業ディレクトリではなく、構成ディレクトリ自体に対して相対的に解決されるようになりました。
      * 管理 API 経由での TSDB ブロックのクラウドストレージへの直接エクスポートをサポートします。
      * 互換性なし:prometheus_remote_storage_samples_total などの非推奨のリモート書き込みメトリクスが削除され、prometheus_wal_watcher_records_read_total が優先されます。
      * 高カーディナリティ正規表現マッチャーのクエリパフォーマンスが大幅に向上。
      * 特定の時系列データを直接安全に削除するための新しい UI インターフェイスを導入します。
      * 正規表現キャプチャグループを使用して部分文字列を抽出するための動的再ラベルアクションを追加しました。
      * タイムゾーン変更後に間違った時間範囲を表示する UI を修正しました。
      * firewalld-prometheus-config をバージョン 0.2 に更新し、OpenTelemetry を 1.43.0

Tenable は、前述の記述ブロックを SUSE セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートの Fedora 43 ホストには、FEDORA-2026-4179e03375 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    3.13.0 に更新してください

Tenable は、前述の記述ブロックを Fedora セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートの Fedora 44 ホストには、FEDORA-2026-01a1840582 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    3.13.0 に更新してください

Tenable は、前述の記述ブロックを Fedora セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートの Fedora 43 ホストには、FEDORA-2026-3942ab86fd のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    バージョン 1.19.5 および 1.19.6 での変更については、https://github.com/jupytext/jupytext/blob/main/CHANGELOG.mdを参照してください。
    この更新プログラムでは、jupyter-builderは F46 以降でのみ使用できるため、Fedoraリリース45のjupyterlab jupyter-builderの変更を元に戻すパッチが適用されました。このリリースでは、多数の CVE が修正されました。


Tenable は、前述の記述ブロックを Fedora セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

The remote Fedora 43 host has a package installed that is affected by multiple vulnerabilities as referenced in the FEDORA-2026-3942ab86fd advisory.

    See https://github.com/jupytext/jupytext/blob/main/CHANGELOG.md for changes in versions 1.19.5 and 1.19.6.
    For this update, a patch has been applied that reverses the jupyterlab  jupyter-builder change for     Fedora releases  45, since jupyter-builder is only available in F46 and later.  Many CVEs have been     fixed in this release.


Tenable has extracted the preceding description block directly from the Fedora security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

The remote SUSE Linux SLES15 host has a package installed that is affected by multiple vulnerabilities as referenced in the SUSE-SU-2026:4606-1 advisory.

    golang-github-prometheus-prometheus was updated to version 3.13.2:

    - Security issues:

      * CVE-2026-39821: Fixed validation bypass and privilege escalation in Punycode label handling     (bsc#1266608)
      * CVE-2026-56852: Fixed infinite loop on truncated or invalid UTF-8 input in unicode/norm handling     (bsc#1272102)
      * CVE-2026-44990: Fixed stored XSS in the new React UI by sanitizing disallowed xmp elements     (bsc#1275205)
      * CVE-2026-53606: Fixed incomplete URI scheme validation in sanitize-html that could enable XSS     (bsc#1269966)
      * CVE-2026-2303: Fixed heap out-of-bounds read in GSSAPI error handling in mongo-driver (bsc#1269856)
      * CVE-2025-4673: Fixed credential leaks by stopping HTTP client header forwarding on redirects     (bsc#1275206)
      * CVE-2023-45289: Fixed credential leaks by stopping header and cookie forwarding on HTTP redirects     (bsc#1275207)
      * CVE-2025-61686: Fixed unauthorized file access and path traversal in react-router storage     (bsc#1270711)
      * CVE-2026-40181: Fixed open redirect risks to external domains via relative paths in react-router     (bsc#1267528)
      * CVE-2026-42342: Fixed DoS risks via unbounded path expansion in the manifest endpoint (bsc#1267538)
      * CVE-2026-42211: Fixed remote code execution risks from prototype pollution in react-router     (bsc#1267534)
      * CVE-2026-39882: Fixed memory exhaustion via uncapped HTTP response reading in OpenTelemetry     (bsc#1274221)
      * Fixed potential denial-of-service vulnerabilities by updating the gRPC dependency
      * Fixed memory exhaustion and DoS by rejecting snappy-compressed requests exceeding 32MB limit

    - Bug fixes and changes:

      * Fixed scrape manager failing to reload properly when SD configuration changes rapidly.
      * Prevent memory leak in remote-write path when the receiving endpoint is unavailable.
      * Native Histograms are no longer experimental. They are fully supported for production workloads.
      * Added support for OpenTelemetry traces within the Prometheus UI to correlate metrics and traces.
      * TSDB compaction speed optimized by improving the block merging algorithm.
      * Allow scraping of multiple targets using a single HTTP/2 connection to reduce overhead.
      * Added new metrics to monitor the health of the rule evaluation engine.
      * Incompatible: This affects scraping, remote read and write, alerting, and SD. Network paths might need     adjustments         to avoid redirects.
      * Incompatible: Rule group pagination tokens now use SHA-256 instead of MD5. Custom API consumers must     adapt to the         new longer token format.
      * Added 'group_limit' parameter to PromQL aggregations to restrict the number of results.
      * Incompatible: promtool relative paths in config files now resolve relative to the config directory     itself, instead         of the current working directory.
      * Support exporting TSDB blocks directly to cloud storage via the admin API.
      * Incompatible: Deprecated remote-write metrics like prometheus_remote_storage_samples_total are removed     in favor of         prometheus_wal_watcher_records_read_total.
      * Significant query performance boost for high-cardinality regex matchers.
      * Introduce a new UI interface for safely deleting specific time series data directly.
      * Added dynamic relabeling actions to extract substrings using regex capture groups.
      * Fixed UI displaying incorrect time ranges after a timezone change.
      * Bumped firewalld-prometheus-config to version 0.2 bumping OpenTelemetry to 1.43.0

Tenable has extracted the preceding description block directly from the SUSE security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

The remote Fedora 43 host has a package installed that is affected by multiple vulnerabilities as referenced in the FEDORA-2026-4179e03375 advisory.

    Update to 3.13.0

Tenable has extracted the preceding description block directly from the Fedora security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

The remote Fedora 44 host has a package installed that is affected by multiple vulnerabilities as referenced in the FEDORA-2026-01a1840582 advisory.

    Update to 3.13.0

Tenable has extracted the preceding description block directly from the Fedora security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

ID	名稱	產品	系列	已發布	已更新	嚴重性
445538	SCA: security update for sanitize-html (GHSA-vccv-cmxp-4j9h)	Tenable Self-Hosted Container Security	SCA Checks	2026/8/1	2026/8/1	medium
461516	Echo: sanitize-html: security update to 2.17.5	Tenable Self-Hosted Container Security	Echo Local Security Checks	2026/10/2	2026/10/5	medium
445538	SCA: security update for sanitize-html (GHSA-vccv-cmxp-4j9h)	Tenable Cloud Security	SCA Checks	2026/8/1	2026/8/1	medium
461516	Echo: sanitize-html: security update to 2.17.5	Tenable Cloud Security	Echo Local Security Checks	2026/10/2	2026/10/5	medium
369278	SUSE SLES15 セキュリティ更新プログラム:golang-github-prometheus-prometheus(SUSE-SU-2026:4606-1)	Nessus	SuSE Local Security Checks	2026/10/21	2026/10/21	high
326366	Fedora 43:prometheus(2026-4179e03375)	Nessus	Fedora Local Security Checks	2026/7/11	2026/7/11	high
326356	Fedora 44:prometheus(2026-01a1840582)	Nessus	Fedora Local Security Checks	2026/7/11	2026/7/11	high
365513	Fedora 43:python-jupytext(2026-3942ab86fd)	Nessus	Fedora Local Security Checks	2026/10/14	2026/10/14	high
365513	Fedora 43 : python-jupytext (2026-3942ab86fd)	Nessus	Fedora Local Security Checks	2026/10/14	2026/10/14	high
369278	SUSE SLES15 Security Update : golang-github-prometheus-prometheus (SUSE-SU-2026:4606-1)	Nessus	SuSE Local Security Checks	2026/10/21	2026/10/21	high
326366	Fedora 43 : prometheus (2026-4179e03375)	Nessus	Fedora Local Security Checks	2026/7/11	2026/7/11	high
326356	Fedora 44 : prometheus (2026-01a1840582)	Nessus	Fedora Local Security Checks	2026/7/11	2026/7/11	high

偵測

搜尋 Plugin

medium

medium

medium

medium

high

high

high

high

high

high

high

high