远程 Redhat Enterprise Linux 10 主机上安装的程序包受到 RHSA-2026:57590 公告中提及的多个漏洞影响。

    Red Hat Podman Desktop 版本是使用 Podman 管理容器的图形工具。它允许用户使用桌面 GUI 运行、管理和配置容器及容器图像。

    安全修复：

    * github.com/go-jose/go-jose/v3：github.com/go-jose/go-jose/v4： Go JOSE：通过构建的 JSON Web 加密 （JWE） 对象 （CVE-2026-34986） 造成的拒绝服务

    * ip-address：ip-address：通过对不受信任的输入进行不当 HTML 转义造成跨站脚本 (CVE-2026-42338)

    * protobufjs： protobufjs：通过构建的 JSON 描述符造成的拒绝服务 （CVE-2026-45740）

    * ws： ws：通过包含“TypedArray”（CVE-2026-45736） 的“websocket.close（）”泄露未初始化的内存

    * devalue： devalue：通过反序列化稀疏数组 （CVE-2026-42570） 消耗过量内存

    * tmp：通过未清理的前缀/后缀进行路径遍历，启用目录转义 （CVE-2026-44705）

    * form-data： form-data：通过 CRLF 注入 （CVE-2026-12143） 实现表单字段替代

    * webpack-dev-server： webpack-dev-server： 通过不当代理配置造成的信息泄露和拒绝服务 （CVE-2026-9595）

    * ws： ws：通过小 WebSocket 片段 （CVE-2026-48779） 耗尽内存导致的拒绝服务

    * extract-zip：github.com/maxogden/extract-zip：extract-zip：通过符号链接验证绕过 （CVE-2026-56876） 进行任意文件写入和信息泄露

    * fast-uri： fast-uri：由于不正确的 Unicode 主机名规范化而导致的安全策略绕过 （CVE-2026-13676）

    * brace-expansion： brace-expansion： 指数时间复杂性造成的拒绝服务 （CVE-2026-13149）

    * tar：Node-tar：通过畸形 tar 存档标头 （CVE-2026-59874） 造成的拒绝服务

    * tar：node-tar：通过构建的 gzip 炸弹造成拒绝服务 （CVE-2026-59873）

    * js-yaml： js-yaml： 通过构建的 YAML 文档造成拒绝服务 （CVE-2026-59869）

    * protobufjs： protobufjs： 通过构建的 .proto 模式 （CVE-2026-59877） 造成拒绝服务

    * grpc-js：@grpc/grpc-js：通过畸形 HTTP/2 流初始化造成服务器崩溃 （CVE-2026-48068）

    * linkify-it： linkify-it： 通过算法复杂性拒绝服务漏洞 （CVE-2026-48801）

    * dompurify： DOMPurify： 跨站脚本漏洞允许代码执行 （CVE-2026-49978）

    * brace-expansion： brace-expansion： 通过 expand（） 函数 （CVE-2026-14257） 中的内存耗尽造成拒绝服务

    * postcss： PostCSS： 通过构建的 CSS 输入 （CVE-2026-45623） 导致的信息泄露和拒绝服务

    * postcss： PostCSS：通过构建的 sourceMappingURL （CVE-2026-69153） 造成信息泄露

    * 大括号扩展：通过不受限制的中间数组造成的 DoS，绕过 CVE-2026-14257 缓解措施 （CVE-2026-69152）

    * ip-address： ip-address：不一致的 IP 地址解析导致服务器端请求伪造 （SSRF） 和信任边界绕过 （CVE-2026-69192）

    错误修复和增强功能：

    * 将 RH Podman Desktop 1.1.2 发布到 RHEL 10.2 扩展 （JIRA：RHEL-238929）

    有关上述安全问题的更多详细信息，包括其影响、CVSS 得分、致谢，以及其他相关信息，请参阅列于“参考”部分的 CVE 页面。

Tenable 已直接从 Red Hat Enterprise Linux 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - 快速 URI 版本 2.3.1 通过 3.1.2 且 4.0.0 无法规范化 HTTP 系列 URL 的 Unicode （IDN） 主机名。IDN 转换路径会调用全局 URL 构造函数中不存在的帮助程序，在 normalize（） 和 equal（） 仍返回不同于兼容 WHATWG 的 URL 解析器的值时，静默地保留主机的原始 Unicode 格式。如果应用程序在将相同的 URL 传递到 Node 的 URL 或提取之前使用快速 URI 执行基于主机的策略（拒绝列表、回路过滤、重定向验证、出站代理路由），则可以在两个实现将相同的输入解析到不同的主机时绕过。修补程序：升级到行或4.0.1行的4.x3.x快速 uri3.1.3。
    变通方案：使用用于实际请求的相同 URL 解析器强制执行主机策略，或在策略检查前拒绝非 ASCII 主机。（CVE-2026-13676）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
338414	RHEL 10：rh-podman-desktop （RHSA-2026:57590）	Nessus	Red Hat Local Security Checks	2026/8/20	2026/8/20	critical
323932	Linux Distros 未修补的漏洞：CVE-2026-13676	Nessus	Misc.	2026/6/30	2026/8/24	high

检测

插件搜索

critical

high