遠端 Debian 13 主機上安裝的多個套件受到 dsa-6232 公告中提及的多個弱點影響。

    - ------------------------------------------------------------------------------------- Debian 安全公告 DSA-6232-1 security@debian.org https://www.debian.org/security/Alberto Garcia 2026 年 4 月 28 日 https://www.debian.org/security/faq
    - -------------------------------------------------------------------------

    套件：webkit2gtk CVE ID：CVE-2025-46299 CVE-2026-20643 CVE-2026-20664 CVE-2026-20665 CVE-2026-20691 CVE-2026-28857 CVE-2026-28859 CVE-2026-28861 CVE-2026-28871

    在 WebKitGTK Web 引擎中發現下列弱點：

    CVE-2025-46299

        Google Big Sleep 發現，處理惡意的特製 Web 內容時可能會洩漏應用程式的內部狀態。

    CVE-2026-20643

        Thomas Espach 發現，處理惡意特製的 Web 內容可能會繞過同源原則。

    CVE-2026-20664

        Daniel Rhea、Soehnke Benedikt Fischedick、Emrovsky & Switch 和 Yevhen Pervushyn 發現，處理惡意特製的 Web 內容可能會導致預期外的處理程序損毀。

    CVE-2026-20665

        webb 發現，處理惡意特製的 Web 內容可能會使內容安全性原則無法執行。

    CVE-2026-20691

        Gongyu Ma 發現，惡意特製的網頁可能會識別使用者。

    CVE-2026-28857

        Narcis Oliveras Fontas、Soehnke Benedikt Fischedick、Daniel Rhea 和 Nathaniel Oh 發現，處理惡意特製的 Web 內容可能會導致預期外的處理程序損毀。

    CVE-2026-28859

        greenbynox 和 Arni Hardarson 發現，一個惡意網站可能會在沙箱之外處理受限制的 Web 內容。

    CVE-2026-28861

        Hongze Wu 和 Shuaike Dong 發現，一個惡意網站可能會存取預定用於其他來源的指令碼訊息處置程式。

    CVE-2026-28871

        @hamayanhamayan 發現，造訪惡意特製的網站可能會導致跨網站指令碼攻擊。

    從 2.52.0 版開始，無法再將 WebKitGTK 反向移植至舊的穩定發行版本 (bookwarm)。因此，bookworm 的安全性支援不再涵蓋 webkit2gtk 套件。

    針對穩定的發行版本 (trixie)，已在第 2.52.1-1~deb13u1 版中修復這些問題。

    建議您升級 webkit2gtk 套件。

    如需有關 webkit2gtk 安全性狀態的詳細資訊，請參閱其安全追蹤頁面：
    https://security-tracker.debian.org/tracker/webkit2gtk

    有關 Debian 安全公告、如何將這些更新套用至您的系統以及常見問題的詳細資訊，請參閱：https://www.debian.org/security/

    郵寄清單：debian-security-announce@lists.debian.org

Tenable 已直接從 Debian 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

偵測

Debian dsa-6232：gir1.2-javascriptcoregtk-4.1 - 安全性更新

medium Nessus Plugin ID 310721

版本 1.1