Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - cookies 是用于读取和写入 HTTP Cookie 的 Node.js 库，由 Koa 通过 ctx.cookies 使用。在库之前 0.9.2 的版本中，会对拒绝分号分隔符的字符集验证 cookie 名称和值，但域和路径选项仅针对允许分号的宽松的 RFC 7230 字段内容匹配器检查，并且两者皆会以非转义方式写入 Set-Cookie 标头。
    因此，将不受信任或请求派生的数据传递到域或路径选项的应用程序可注入其他 cookie 属性，从而覆盖应用程序发出的 cookie 上的 SameSite、Secure、HttpOnly 或 Domain。这是 Set-Cookie 属性注入问题 （CWE-74）。cookies 0.9.2中修复了此问题，它根据 RFC 6265 字符集验证域和路径。变通方案是保留域和路径应用程序集，而不是源自不受信任的输入。（CVE-2026-88038）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

检测

Linux Distros 未修补的漏洞：CVE-2026-88038

medium Nessus 插件 ID 344695

版本 1.1