There are packages installed that are affected by a vulnerability referenced in the following CVE:

  - oras-go is a Go library for managing OCI artifacts. Prior to 2.6.1, auth.Client follows the realm URL from
    a registry's WWW-Authenticate: Bearer challenge without validating the scheme or host, allowing a
    malicious or compromised registry to cause SSRF to internal networks such as http://169.254.169.254/,
    http://10.0.0.x/, and http://127.0.0.1/, or to downgrade a registry contacted over https:// to an http://
    token endpoint in registry/remote/auth/client.go through Client.Do(), Client.fetchBearerToken(),
    fetchDistributionToken, and fetchOAuth2Token. This issue is fixed in version 2.6.1. (CVE-2026-48978)

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且廠商未提供可用的修補程式。

  - oras-go 是用於管理 OCI 構件的 Go 程式庫。在 之前， 2.6.1驗證。用戶端會遵循登錄檔 WWW-Authenticate： Bearer 挑戰中的領域 URL，而不驗證配置或主機，允許惡意或遭入侵的登錄檔將 SSRF 降級至內部網路 （例如 http://169.254.169.254/、 http://10.0.0.x/和 http://127.0.0.1/），或透過 Client.Do（）、Client.fetchBearerToken（）、fetchDistributionToken 和 fetchOAuth2Token 將透過 https:// 連線的登錄降級至 registry/remote/auth/client.go 中的 http:// 權杖端點。2.6.1 版已修正此問題。(CVE-2026-48978)

請注意，Nessus 的判定取決於廠商所報告的套件是否存在。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - oras-go 是用于管理 OCI 构件的 Go 库。低于 、auth2.6.1.客户端在未验证方案或主机的情况下遵循注册表的 WWW-Authenticate： 承载程序质询，从而允许恶意或已被破坏的注册表通过 Client.Do（）、Client.fetchBearerToken（）、fetchDistributionToken 和 fetchOAuth2Token 导致内部网络（例如 http://169.254.169.254/、 http://10.0.0.x/http://127.0.0.1/和 ）的 SSRF，或将通过 https:// 联系的注册表降级至 registry/remote/auth/client.go 中的 http:// 标记端点。此问题已在 2.6.1 版本中修复。(CVE-2026-48978)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

リモートの SUSE Linux SLES15 / SLES_SAP15 ホストには、SUSE-SU-2026:2823-1 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    このhelm用更新プログラムでは、以下の問題を修正します。修正されたセキュリティ問題

    - バージョン 3.21.2 への更新
    - CVE-2026-39821:golang.org/x/net/idna:ASCII のみの Punycode でエンコードされたラベルを拒否できないことにより、検証バイパスと権限昇格(bsc#1266598)が可能になります。
    - CVE-2026-48978: oras.land/oras-go/v2/registry/remote/auth: 悪意のあるレジストリがベアラートークンレルムをハイジャックし、認証情報を盗み出し、トークンをリフレッシュする可能性があります(bsc#1270127)。

Tenable は、前述の記述ブロックを SUSE セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - oras-goは、OCIアーティファクトを管理するためのGoライブラリです。2.6.1 より前は、auth.クライアントがレジストリのWWW-Authenticate: BearerチャレンジのレルムURLに従い、スキームまたはホストを検証せずに、悪意のあるまたは侵害されたレジストリが、http://169.254.169.254/、http://10.0.0.x/、http://127.0.0.1/などの内部ネットワークにSSRFを引き起こしたり、https:// を介して接続されたレジストリを Client.Do()、Client.fetchBearerToken()、fetchDistributionToken、fetchOAuth2Token経由でregistry/remote/auth/client.goの http:// トークンエンドポイントにダウングレードしたりする可能性があります。この問題はバージョン 2.6.1 で修正されています。(CVE-2026-48978)

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

リモートのSUSE Linux SLES16 /SLES_SAP16ホストには、 SUSE-SU-2026:22650-1 アドバイザリに記載されている脆弱性の影響を受けるパッケージがインストールされています。

    helm 用のこの更新では、次の問題を修正しています

    - CVE-2026-48978: oras.land/oras-go/v2/registry/remote/auth: 悪意のあるレジストリがベアラートークンレルムをハイジャックし、認証情報を流出し、トークンをリフレッシュする可能性があります(bsc#1270127)。

    helm の変更:

    - バージョン 3.21.2 に更新してください。

Tenable は、前述の記述ブロックを SUSE セキュリティアドバイザリから直接抽出しています。

Nessus はこの問題をテストしていないことに留意してください。ただし、代わりにアプリケーションから自己報告されたバージョン番号にのみ依存しています。

リモートのopenSUSE 16ホストには、openSUSE- SU-2026:21331-1アドバイザリに記載された脆弱性の影響を受けるパッケージがインストールされています。

    helm 用のこの更新では、次の問題を修正しています

    - CVE-2026-48978: oras.land/oras-go/v2/registry/remote/auth: 悪意のあるレジストリがベアラートークンレルムをハイジャックし、認証情報を流出し、トークンをリフレッシュする可能性があります(bsc#1270127)。

    helm の変更:

    - バージョン 3.21.2 に更新してください。

Tenable は、前述の記述ブロックを SUSE セキュリティアドバイザリから直接抽出しています。

Nessus はこの問題をテストしていないことに留意してください。ただし、代わりにアプリケーションから自己報告されたバージョン番号にのみ依存しています。

The remote SUSE Linux SLES16 / SLES_SAP16 host has packages installed that are affected by a vulnerability as referenced in the SUSE-SU-2026:22650-1 advisory.

    This update for helm fixes the following issue

    - CVE-2026-48978: oras.land/oras-go/v2/registry/remote/auth: malicious registry can hijack Bearer token     realm to       exfiltrate credentials and refresh tokens (bsc#1270127).

    Changes for helm:

    - Update to version 3.21.2.

Tenable has extracted the preceding description block directly from the SUSE security advisory.

Note that Nessus has not tested for this issue but has instead relied only on the application's self-reported version number.

The remote SUSE Linux SLES15 / SLES_SAP15 host has packages installed that are affected by multiple vulnerabilities as referenced in the SUSE-SU-2026:2823-1 advisory.

    This update for helm fixes the following issues

    - Update to version 3.21.2
    - CVE-2026-39821: golang.org/x/net/idna: failure to reject ASCII-only Punycode-encoded labels allows for     validation bypass and privilege escalation (bsc#1266598).
    - CVE-2026-48978: oras.land/oras-go/v2/registry/remote/auth: Malicious registry can hijack Bearer token     realm to exfiltrate credentials and refresh tokens (bsc#1270127).

Tenable has extracted the preceding description block directly from the SUSE security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

The Linux/Unix host has one or more packages installed that are impacted by a vulnerability without a vendor supplied patch available.

  - oras-go is a Go library for managing OCI artifacts. Prior to 2.6.1, auth.Client follows the realm URL from     a registry's WWW-Authenticate: Bearer challenge without validating the scheme or host, allowing a     malicious or compromised registry to cause SSRF to internal networks such as http://169.254.169.254/,     http://10.0.0.x/, and http://127.0.0.1/, or to downgrade a registry contacted over https:// to an http://     token endpoint in registry/remote/auth/client.go through Client.Do(), Client.fetchBearerToken(),     fetchDistributionToken, and fetchOAuth2Token. This issue is fixed in version 2.6.1. (CVE-2026-48978)

Note that Nessus relies on the presence of the package as reported by the vendor.

The remote openSUSE 16 host has packages installed that are affected by a vulnerability as referenced in the openSUSE- SU-2026:21331-1 advisory.

    This update for helm fixes the following issue

    - CVE-2026-48978: oras.land/oras-go/v2/registry/remote/auth: malicious registry can hijack Bearer token     realm to       exfiltrate credentials and refresh tokens (bsc#1270127).

    Changes for helm:

    - Update to version 3.21.2.

Tenable has extracted the preceding description block directly from the SUSE security advisory.

Note that Nessus has not tested for this issue but has instead relied only on the application's self-reported version number.

The remote openSUSE 16 host has packages installed that are affected by multiple vulnerabilities as referenced in the openSUSE-SU-2026:21809-1 advisory.

    Update to version 3.21.1:

    - CVE-2026-37236: github.com/grpc-ecosystem/grpc-gateway/v2/runtime: client can override the HTTP method     of a POST       request through the X-HTTP-Method-Override header and bypass established access control (bsc#1277949).
    - CVE-2026-41178: go.opentelemetry.io/otel/baggage: no rejection of raw-length headers in baggage parsing     allows for DoS       via oversized inputs (bsc#1276644).
    - CVE-2026-48978: oras.land/oras-go/v2/registry/remote/auth: Malicious registry can hijack Bearer token     realm to       exfiltrate credentials and refresh tokens (bsc#1270127).
    - CVE-2026-50151: oras-go: Credential forwarding via unvalidated Location header during blob upload     (bsc#1271660).
    - CVE-2026-63308: processing zero-length byte slices in template chart files can trigger an index out-of-     range panic       (bsc#1272402).
    - CVE-2026-84303: github.com/grpc/grpc-go: xDS RBAC HTTP filter implementation issue allows for bypass of     authorization       policies via mixed-case or canonical-case header matches (bsc#1278270).
    - CVE-2026-84304: github.com/grpc/grpc-go: heap memory exhaustion via HTTP/2 DATA frame fragmentation     (bsc#1278273).
    - CVE-2026-84445: google.golang.org/grpc: DoS via crash due to missing `:authority` and `Host` headers in     gRPC-Go xDS       servers (bsc#1278688).
    - gRPC-Go: several issues affecting the xDS RBAC authorization engine and the HTTP/2 transport server     implementation       (bsc#1276514).

Tenable has extracted the preceding description block directly from the SUSE security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
444257	SCA: security update for oras.land/oras-go, oras.land/oras-go/v2 (GHSA-xf85-363p-868w)	Tenable Cloud Security	SCA Checks	2026/7/2	2026/8/31	low
444257	SCA: security update for oras.land/oras-go, oras.land/oras-go/v2 (GHSA-xf85-363p-868w)	Tenable Self-Hosted Container Security	SCA Checks	2026/7/2	2026/8/31	low
327785	Linux Distros 未修補弱點：CVE-2026-48978	Nessus	Misc.	2026/7/18	2026/8/1	low
327785	Linux Distros 未修补的漏洞：CVE-2026-48978	Nessus	Misc.	2026/7/18	2026/8/1	low
326332	SUSE SLES15:helm / helm-bash-completion / helm-fish-completion / など(SUSE-SU-2026:2823-1)	Nessus	SuSE Local Security Checks	2026/7/10	2026/7/10	low
327785	Linux Distros のパッチ未適用の脆弱性: CVE-2026-48978	Nessus	Misc.	2026/7/18	2026/8/1	low
327567	SUSE SLES16:helm / helm-bash-completion / helm-fish-completion / など(SUSE-SU-2026:22650-1)	Nessus	SuSE Local Security Checks	2026/7/17	2026/7/17	low
327242	openSUSE 16:helm / helm-bash-completion / helm-fish-completion / etc(openSUSE-SU-2026:21331-1)	Nessus	SuSE Local Security Checks	2026/7/16	2026/7/16	low
327567	SUSE SLES16: helm / helm-bash-completion / helm-fish-completion / etc (SUSE-SU-2026:22650-1)	Nessus	SuSE Local Security Checks	2026/7/17	2026/7/17	low
326332	SUSE SLES15: helm / helm-bash-completion / helm-fish-completion / etc (SUSE-SU-2026:2823-1)	Nessus	SuSE Local Security Checks	2026/7/10	2026/7/10	low
327785	Linux Distros Unpatched Vulnerability : CVE-2026-48978	Nessus	Misc.	2026/7/18	2026/8/1	low
327242	openSUSE 16: helm / helm-bash-completion / helm-fish-completion / etc (openSUSE-SU-2026:21331-1)	Nessus	SuSE Local Security Checks	2026/7/16	2026/7/16	low
344664	openSUSE 16: helm / helm-bash-completion / helm-fish-completion / etc (openSUSE-SU-2026:21809-1)	Nessus	SuSE Local Security Checks	2026/9/11	2026/9/11	high

检测

插件搜索

low

low

low

low

low

low

low

low

low

low

low

low

high