There are packages installed that are affected by a vulnerability referenced in the following CVE:

  - NATS-Server is a High-Performance server for NATS.io, a cloud and edge native messaging system. Prior to
    versions 2.11.15 and 2.12.6, a malicious client which can connect to the WebSockets port can cause
    unbounded memory use in the nats-server before authentication; this requires sending a corresponding
    amount of data. This is a milder variant of CVE-2026-27571. That earlier issue was a compression bomb,
    this vulnerability is not. Attacks against this new issue thus require significant client bandwidth.
    Versions 2.11.15 and 2.12.6 contain a fix. As a workaround, disable websockets if not required for project
    deployment. (CVE-2026-33219)

There are packages installed that are affected by multiple vulnerabilities referenced in the following CVEs:

  - NATS-Server is a High-Performance server for NATS.io, a cloud and edge native messaging system. Prior to
    versions 2.11.15 and 2.12.6, for MQTT deployments using usercodes/passwords: MQTT passwords are
    incorrectly classified as a non-authenticating identity statement (JWT) and exposed via monitoring
    endpoints. Versions 2.11.14 and 2.12.6 contain a fix. As a workaround, ensure monitoring end-points are
    adequately secured. Best practice remains to not expose the monitoring endpoint to the Internet or other
    untrusted network users. (CVE-2026-33216)

  - NATS-Server is a High-Performance server for NATS.io, a cloud and edge native messaging system. The nats-
    server provides an MQTT client interface. Prior to versions 2.11.15 and 2.12.5, Sessions and Messages can
    by hijacked via MQTT Client ID malfeasance. Versions 2.11.15 and 2.12.5 patch the issue. No known
    workarounds are available. (CVE-2026-33215)

  - NATS-Server is a High-Performance server for NATS.io, a cloud and edge native messaging system. Prior to
    versions 2.11.15 and 2.12.6, when using ACLs on message subjects, these ACLs were not applied in the
    `$MQTT.>` namespace, allowing MQTT clients to bypass ACL checks for MQTT subjects. Versions 2.11.15 and
    2.12.6 contain a fix. No known workarounds are available. (CVE-2026-33217)

  - NATS-Server is a High-Performance server for NATS.io, a cloud and edge native messaging system. Prior to
    versions 2.11.15 and 2.12.6, a client which can connect to the leafnode port can crash the nats-server
    with a certain malformed message pre-authentication. Versions 2.11.15 and 2.12.6 contain a fix. As a
    workaround, disable leafnode support if not needed or restrict network connections to the leafnode port,
    if plausible without compromising the service offered. (CVE-2026-33218)

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且供應商未提供可用的修補程式。

  - NATS-Server 是適用於雲端與邊緣原生訊息系統 NATS.io 的高效能伺服器。在 2.11.15 和 2.12.6版之前可連線至 WebSockets 連接埠的惡意用戶端可在驗證前造成 nats-server 中使用無限記憶體這需要傳送對應數量的資料。這是 CVE-2026-27571的較弱變體。之前的問題是壓縮炸彈而此弱點不是。因此針對這個新問題的攻擊需要大量的用戶端頻寬。
     2.11.15 和 2.12.6 版包含一個修正。因應措施為停用專案部署不需要的 websocket。 (CVE-2026-33219)

請注意，Nessus 的判定取決於廠商所報告的套件是否存在。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - NATS-Server 是适用于云和边缘原生消息系统 NATS.io 的高性能服务器。在版本 2.11.15 和 2.12.6之前恶意客户端可连接到 WebSockets 端口可造成 nats-server 认证之前使用不受限制的内存这需要发送相应的数据量。这是 CVE-2026-27571性质较弱的变体。之前的该漏洞是压缩炸弹而此漏洞则不是。因此针对这个新问题的攻击需要大量的客户端带宽。
    版本 2.11.15 和 2.12.6 包含一个补丁。变通方案为，如果项目部署不需要 websocket，请禁用 websocket。 (CVE-2026-33219)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - NATS-Server は、クラウドおよびエッジネイティブメッセージングシステムである NATS.io 向けのハイパフォーマンスサーバーです。バージョン 2.11.15 および 2.12.6より前では、WebSockets ポートに接続できる悪意のあるクライアントが、認証の前に nats-server で無制限のメモリ使用を引き起こす可能性があります。これには、相当の量のデータを送信する必要があります。これは CVE-2026-27571のより緩和されたバリアントです。以前の問題は圧縮爆弾でしたが、この脆弱性は正しくありません。このため、この新しい問題に対する攻撃には、クライアントの帯域幅が必要です。
    バージョン 2.11.15 と 2.12.6 には修正が含まれています。回避策として、プロジェクトのデプロイメントに不要な場合は websocket を無効にしてください。CVE-2026-33219

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

The Linux/Unix host has one or more packages installed that are impacted by a vulnerability without a vendor supplied patch available.

  - NATS-Server is a High-Performance server for NATS.io, a cloud and edge native messaging system. Prior to     versions 2.11.15 and 2.12.6, a malicious client which can connect to the WebSockets port can cause     unbounded memory use in the nats-server before authentication; this requires sending a corresponding     amount of data. This is a milder variant of CVE-2026-27571. That earlier issue was a compression bomb,     this vulnerability is not. Attacks against this new issue thus require significant client bandwidth.
    Versions 2.11.15 and 2.12.6 contain a fix. As a workaround, disable websockets if not required for project     deployment. (CVE-2026-33219)

Note that Nessus relies on the presence of the package as reported by the vendor.

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
439158	SCA: security update for github.com/nats-io/nats-server/v2 (GHSA-8r68-gvr4-jh7j)	Tenable Cloud Security	SCA Checks	2026/3/25	2026/7/2	high
439158	SCA: security update for github.com/nats-io/nats-server/v2 (GHSA-8r68-gvr4-jh7j)	Tenable Self-Hosted Container Security	SCA Checks	2026/3/25	2026/7/2	high
440289	Alpine: nats-server: security update to 2.12.6-r0	Tenable Cloud Security	Alpine Linux Local Security Checks	2026/4/12	2026/7/2	high
440289	Alpine: nats-server: security update to 2.12.6-r0	Tenable Self-Hosted Container Security	Alpine Linux Local Security Checks	2026/4/12	2026/7/2	high
303832	Linux Distros 未修補的弱點：CVE-2026-33219	Nessus	Misc.	2026/3/26	2026/7/18	high
303832	Linux Distros 未修补的漏洞：CVE-2026-33219	Nessus	Misc.	2026/3/26	2026/7/18	high
303832	Linux Distros のパッチ未適用の脆弱性: CVE-2026-33219	Nessus	Misc.	2026/3/26	2026/7/18	high
303832	Linux Distros Unpatched Vulnerability : CVE-2026-33219	Nessus	Misc.	2026/3/26	2026/7/18	high

检测

插件搜索

high

high

high

high

high

high

high

high