There are packages installed that are affected by a vulnerability referenced in the following CVE:

  - Faraday is an HTTP client library abstraction layer that provides a common interface over many adapters.
    Versions 2.0.0 through 2.14.1 still allow protocol-relative host override when the request target is
    passed as a URI object (rather than a String) to Faraday::Connection#build_exclusive_url. This bypasses
    the February 2026 fix for GHSA-33mh-2634-fwr2 and enables off-host request forgery: a request built from a
    fixed-base Faraday::Connection can be redirected to an attacker-controlled host, forwarding connection-
    scoped values such as Authorization headers and default query parameters. This issue has been fixed in
    version 2.14.3. (CVE-2026-33637)

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - Faraday 是 HTTP 客户端库抽象层，提供针对许多适配器的通用接口。
    2.0.0将请求目标作为 URI 对象（而非字符串）传递到 Faraday：：Connection#build_exclusive_url 时，版本2.14.1仍然允许协议相关的主机替代。这绕过了 GHSA-33mh-2634-fwr2 的 2026 年 2 月补丁并启用了主机外请求伪造：从固定基 Faraday：：Connection 构建的请求可重定向到攻击者控制的主机，从而转发授权标头和默认查询参数等连接范围值。此问题已在 2.14.3 版本中修复。(CVE-2026-33637)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且供應商未提供可用的修補程式。

  - Faraday 是一個 HTTP 用戶端程式庫抽象層，可在許多轉接器上提供通用介面。
    2.0.0當請求目標以 URI 物件 （而非字串） 形式傳遞至 Faraday：：Connection#build_exclusive_url 時，版本2.14.1仍允許通訊協定相對主機覆寫。這繞過了 2026 年 2 月針對 GHSA-33mh-2634-fwr2 的修正，並啟用了主機外請求偽造：從固定基礎 Faraday：：Connection 建立的請求可以重新導向到攻擊者控制的主機，轉送連線範圍的值，例如授權標頭和預設查詢參數。2.14.3 版已修正此問題。(CVE-2026-33637)

請注意，Nessus 的判定取決於廠商所報告的套件是否存在。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - Faradayは、多くのアダプターに共通のインターフェイスを提供するHTTPクライアントライブラリ抽象化層です。
    2.14.12.0.0バージョンは、リクエストターゲットが(文字列ではなく)URI オブジェクトとして Faraday::Connection#build_exclusive_url に渡される際に、依然としてプロトコル相対ホストオーバーライドを許可します。これは、GHSA-33mh-2634-fwr2 の 2026 年 2 月の修正をバイパスし、オフホストリクエスト偽造を有効化します。固定ベースの Faraday::Connection から構築されたリクエストは、攻撃者の制御下にあるホストにリダイレクトされ、Authorization ヘッダーやデフォルトクエリパラメーターなどの接続範囲の値を転送する可能性があります。この問題はバージョン 2.14.3で修正されています。(CVE-2026-33637)

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

The Linux/Unix host has one or more packages installed that are impacted by a vulnerability without a vendor supplied patch available.

  - Faraday is an HTTP client library abstraction layer that provides a common interface over many adapters.
    Versions 2.0.0 through 2.14.1 still allow protocol-relative host override when the request target is     passed as a URI object (rather than a String) to Faraday::Connection#build_exclusive_url. This bypasses     the February 2026 fix for GHSA-33mh-2634-fwr2 and enables off-host request forgery: a request built from a     fixed-base Faraday::Connection can be redirected to an attacker-controlled host, forwarding connection-     scoped values such as Authorization headers and default query parameters. This issue has been fixed in     version 2.14.3. (CVE-2026-33637)

Note that Nessus relies on the presence of the package as reported by the vendor.

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
442081	SCA: security update for faraday (GHSA-5rv5-xj5j-3484)	Tenable Cloud Security	SCA Checks	2026/5/18	2026/7/2	medium
442081	SCA: security update for faraday (GHSA-5rv5-xj5j-3484)	Tenable Self-Hosted Container Security	SCA Checks	2026/5/18	2026/7/2	medium
316391	Linux Distros 未修补的漏洞：CVE-2026-33637	Nessus	Misc.	2026/5/22	2026/6/21	medium
316391	Linux Distros 未修補的弱點：CVE-2026-33637	Nessus	Misc.	2026/5/22	2026/6/21	medium
316391	Linux Distros のパッチ未適用の脆弱性: CVE-2026-33637	Nessus	Misc.	2026/5/22	2026/6/21	medium
316391	Linux Distros Unpatched Vulnerability : CVE-2026-33637	Nessus	Misc.	2026/5/22	2026/6/21	medium

检测

插件搜索

medium

medium

medium

medium

medium

medium