Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - fast-uri 是适用于 Node.js 的 URI 解析器。它在解析期间解码主机名中的百分比转义，然后在颁发机构重组期间再次解码解析的主机名，因此只需调用规范化或解析即可将嵌套的百分比编码输入转换为不同的网络目标，例如环回主机名或地址。例如，拼出回路名称的双重编码主机在一个操作中解码到该实时主机，这与 RFC 3986 部分 2.4 中实现不得多次解码同一字符串相矛盾。在出站路由、重定向验证或主机策略检查之前将不受信任的 HTTP 系列 URI 标准化或解析不受信任的 HTTP 系列 URI 的应用程序可以接收与原始编码主机所代表的目标不同的目的地，从而造成服务器端请求伪造和主机策略绕过原语。这是 的不完整修复变体 CVE-2026-6322。受影响的版本最高2.4.1但不包括 、最高但不包括 2.4.53.1.6和 3.1.24.0.0最高但不包括 4.1.3。
    该问题已在 2.4.5、 和 4.1.3中3.1.6修复，可将百分比转义规范化一次，并保留编码的百分号。用户应升级到修补版本。（CVE-2026-75899）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

检测

Linux Distros 未修补的漏洞：CVE-2026-75899

high Nessus 插件 ID 339304

版本 1.1