Linux Distros 未修补的漏洞：CVE-2026-106446
critical Nessus 插件 ID 371358
语言：
简介
Linux/Unix 主机上安装的一个或多个程序包存在漏洞，但供应商表示不会修补此漏洞。描述
Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。- Handlebars 提供了让用户构建语义模板所需的强大功能。From 4.0.0 until 4.7.10、Handlebars.compile（） 和 Handlebars.precompile（） 接受预解析的 AST 对象，同时仅验证选定的 PathExpression、NumberLiteral 和 BooleanLiteral 值。此问题绕过了版本中4.7.9CVE-2026-33937引入的 AST 验证。可提供对象而非模板字符串的攻击者可在未经检查的值中放置 JavaScript 表达式，例如 Program.blockParams.length、非 PathExpression 参数深度、非字符串 StringLiteral.value 或非字符串 PathExpression.original。
编译器将这些值发出到生成的 JavaScript 中，当编译输出渲染时或任何加载预编译输出的地方，造成代码在服务器进程中执行。仅传递模板字符串的应用程序不受影响。此问题已在 4.7.10 版本中修复。(CVE-2026-106446)
请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。
解决方案
目前尚未有任何已知的解决方案。另见
https://access.redhat.com/security/cve/cve-2026-106446
插件详情
严重性: Critical
ID: 371358
文件名: unpatched_CVE_2026_106446.nasl
版本: 1.6
类型: Local
代理: unix
系列: Misc.
发布时间: 2026/10/23
最近更新时间: 2026/11/2
支持的传感器: Frictionless Assessment AWS, Frictionless Assessment Azure, Frictionless Assessment Agent, Nessus Agent, Agentless Assessment, Tenable Cloud Security, Tenable Self-Hosted Container Security, Nessus
风险信息
VPR
风险因素: Medium
分数: 4.9
百分位: 58.39
CVSS v2
风险因素: Critical
基本分数: 10
时间分数: 8.5
矢量: CVSS2#AV:N/AC:L/Au:N/C:C/I:C/A:C
CVSS 分数来源: CVE-2026-106446
CVSS v3
风险因素: Critical
基本分数: 9.8
时间分数: 9
矢量: CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
时间矢量: CVSS:3.0/E:U/RL:U/RC:C
漏洞信息
CPE: cpe:/o:canonical:ubuntu_linux:16.04:-:lts, cpe:/o:canonical:ubuntu_linux:18.04:-:lts, cpe:/o:canonical:ubuntu_linux:20.04:-:lts, cpe:/o:canonical:ubuntu_linux:22.04:-:lts, cpe:/o:canonical:ubuntu_linux:24.04:-:lts, cpe:/o:canonical:ubuntu_linux:26.04:-:lts, cpe:/o:canonical:ubuntu_linux:26.10, cpe:/o:centos:centos:8, cpe:/o:debian:debian_linux:12.0, cpe:/o:debian:debian_linux:13.0, cpe:/o:redhat:enterprise_linux:8, p-cpe:/a:canonical:ubuntu_linux:node-handlebars, p-cpe:/a:canonical:ubuntu_linux:ruby-handlebars-assets, p-cpe:/a:centos:centos:cockpit-bridge, p-cpe:/a:centos:centos:cockpit-dashboard, p-cpe:/a:centos:centos:cockpit-doc, p-cpe:/a:centos:centos:cockpit-machines, p-cpe:/a:centos:centos:cockpit-packagekit, p-cpe:/a:centos:centos:cockpit-pcp, p-cpe:/a:centos:centos:cockpit-storaged, p-cpe:/a:centos:centos:cockpit-system, p-cpe:/a:centos:centos:cockpit-ws, p-cpe:/a:centos:centos:cockpit, p-cpe:/a:centos:centos:mozjs60-devel, p-cpe:/a:centos:centos:mozjs60, p-cpe:/a:debian:debian_linux:node-handlebars, p-cpe:/a:redhat:enterprise_linux:cockpit-bridge, p-cpe:/a:redhat:enterprise_linux:cockpit-dashboard, p-cpe:/a:redhat:enterprise_linux:cockpit-doc, p-cpe:/a:redhat:enterprise_linux:cockpit-machines, p-cpe:/a:redhat:enterprise_linux:cockpit-packagekit, p-cpe:/a:redhat:enterprise_linux:cockpit-pcp, p-cpe:/a:redhat:enterprise_linux:cockpit-storaged, p-cpe:/a:redhat:enterprise_linux:cockpit-system, p-cpe:/a:redhat:enterprise_linux:cockpit-ws, p-cpe:/a:redhat:enterprise_linux:cockpit, p-cpe:/a:redhat:enterprise_linux:mozjs60-devel, p-cpe:/a:redhat:enterprise_linux:mozjs60
必需的 KB 项: Host/local_checks_enabled, Host/cpu, global_settings/vendor_unpatched, Host/OS/identifier
易利用性: No known exploits are available
漏洞发布日期: 2026/10/6
参考资料信息
CVE: CVE-2026-106446