Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - 影响：undici 解析 Set-Cookie 标头时，会接受包含 Strict、Lax 或 None 作为子字符串的任何 SameSite 属性值，而不是 RFC 6265 指定的不区分大小写的完全匹配。
    非规范值会静默映射到三种标准标记之一。例如，SameSite=NoneOfYourBusiness 被解析为 None（最宽松的设置），SameSite=StrictLax 被解析为 Lax（从 Strict 降级）。受影响的应用程序是那些消耗来自服务器响应的 Set-Cookie 标头（例如通过 undici 的提取或代理代码路径），然后转发或依赖解析的 sameSite 属性的应用程序。恶意或不合规的服务器可将使用者对 cookie 的 SameSite 策略的视图强制转换为较弱的值，从而静默地降级 cookie 应提供的 SameSite 强制执行。这在添加 cookie 功能时在 undici 5.15.0 中引入。补丁：
    请升级到 undici v6.26.0、v7.28.0 或 v8.5.0。解决方法：解析 Set-Cookie 标头后，在转发或依赖 sameSite 属性前，验证生成的 sameSite 属性是否为 'Strict'、'Lax' 或 'None'（准确，不区分大小写）之一。（CVE-2026-11525）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

检测

Linux Distros 未修补的漏洞：CVE-2026-11525

low Nessus 插件 ID 321573

版本 1.4