Linux Distros 未修补的漏洞：CVE-2026-63402

medium Nessus 插件 ID 374563

语言：

简介

Linux/Unix 主机上安装的一个或多个程序包存在漏洞，但供应商表示不会修补此漏洞。

描述

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

- i18next 是 JavaScript 的国际化框架。在旧版 26.3.4之前，“src/utils.js”中的“deepExtend”会使用 in 运算符检查属性是否存在，并递归到通过“Object.prototype”访问的继承内置命令。应用程序必须同时包含“deep： true”和“overwrite： true”，将攻击者控制的资源数据显式传递至“addResourceBundle（lng， ns， data， deep， overwrite）”。
然后，“hasOwnProperty”、“toString”和“valueOf”等源键可以选择共享继承的内置函数对象，并且嵌套值可以在整个进程中覆盖这些对象的属性。例如，将“Object.prototype.hasOwnProperty.call”设为不可调用，造成包括 i18next 内部在内的后续使用抛出 TypeError，进而导致无法恢复的拒绝服务，并有限的完整性影响。
“__proto__”/“构造函数”保护未阻止此机制，因为损坏目标是继承的内置函数，而不是原型对象本身。未经深度合并或带有覆盖 falsy 的默认调用不受影响，并且没有标准 i18next 后端或集成使用有漏洞的配置。此问题不同于 i18next-fs-backend （CVE-2026-48713）和 i18next-http-middleware （CVE-2026-48714）中的 setPath/key-walking prototype-pollution 缺陷。此问题已在 26.3.4 版本中修复。(CVE-2026-63402)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

解决方案

目前尚未有任何已知的解决方案。

另见

https://security-tracker.debian.org/tracker/CVE-2026-63402

插件详情

严重性: Medium

ID: 374563

文件名: unpatched_CVE_2026_63402.nasl

版本: 1.1

类型: Local

代理: unix

系列: Misc.

发布时间: 2026/10/31

最近更新时间: 2026/10/31

支持的传感器: Frictionless Assessment Agent, Nessus Agent, Agentless Assessment, Tenable Cloud Security, Tenable Self-Hosted Container Security, Nessus

风险信息

VPR

风险因素: Low

分数: 3.5

百分位: 51.45

CVSS v2

风险因素: Medium

基本分数: 6.4

时间分数: 5.4

矢量: CVSS2#AV:N/AC:L/Au:N/C:N/I:P/A:P

CVSS 分数来源: CVE-2026-63402

CVSS v3

风险因素: Medium

基本分数: 5.9

时间分数: 5.4

矢量: CVSS:3.0/AV:N/AC:H/PR:L/UI:N/S:U/C:N/I:L/A:H

时间矢量: CVSS:3.0/E:U/RL:U/RC:C

漏洞信息

CPE: cpe:/o:debian:debian_linux:12.0, cpe:/o:debian:debian_linux:13.0, cpe:/o:debian:debian_linux:14.0, p-cpe:/a:debian:debian_linux:node-i18next

必需的 KB 项: Host/local_checks_enabled, Host/cpu, global_settings/vendor_unpatched, Host/OS/identifier

易利用性: No known exploits are available

漏洞发布日期: 2026/10/30

参考资料信息

CVE: CVE-2026-63402