Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且廠商未提供可用的修補程式。

  - cookies 是一個用於讀取和寫入 HTTP cookie 的Node.js庫，Koa 通過 ctx.cookies 使用。在程式庫之前 0.9.2 的版本中，會針對拒絕分號分隔符號的字元集驗證 Cookie 名稱和值，但網域和路徑選項只會針對允許分號的寬鬆 RFC 7230 欄位內容比對器進行檢查，而且兩者都會以未逸出的方式寫入 Set-Cookie 標頭。
    因此，將不受信任或請求衍生資料傳遞至網域或路徑選項的應用程式可以插入其他 Cookie 屬性，覆寫應用程式發出的 Cookie 上的 SameSite、Secure、HttpOnly 或 Domain。這是 Set-Cookie 屬性插入問題 （CWE-74）。此問題已在 cookie 中修正， 0.9.2可根據 RFC 6265 字元集驗證網域和路徑。因應措施是保留網域和路徑應用程式集，而不是衍生自不受信任的輸入。（CVE-2026-88038）

請注意，Nessus 的判定取決於廠商所報告的套件是否存在。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - cookies 是用于读取和写入 HTTP Cookie 的 Node.js 库，由 Koa 通过 ctx.cookies 使用。在库之前 0.9.2 的版本中，会对拒绝分号分隔符的字符集验证 cookie 名称和值，但域和路径选项仅针对允许分号的宽松的 RFC 7230 字段内容匹配器检查，并且两者皆会以非转义方式写入 Set-Cookie 标头。
    因此，将不受信任或请求派生的数据传递到域或路径选项的应用程序可注入其他 cookie 属性，从而覆盖应用程序发出的 cookie 上的 SameSite、Secure、HttpOnly 或 Domain。这是 Set-Cookie 属性注入问题 （CWE-74）。cookies 0.9.2中修复了此问题，它根据 RFC 6265 字符集验证域和路径。变通方案是保留域和路径应用程序集，而不是源自不受信任的输入。（CVE-2026-88038）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - cookies は、クッキー HTTP読み書きを行うための Node.js ライブラリで、Koa が ctx.cookies を介して使用します。0.9.2 より前のバージョンでは、ライブラリは、セミコロンセパレーターを拒否する文字セットに対してクッキーの名前と値を検証しますが、ドメインとパスのオプションは、セミコロンを許可する制限の多い RFC 7230 フィールドコンテンツのマッチャーに対してのみチェックされ、両方がエスケープされずに Set-Cookie ヘッダーに書き込まれます。
    信頼できないデータまたはリクエスト由来のデータをドメインまたはパスオプションに渡すアプリケーションは、追加のCookie属性を挿入し、アプリケーションが発行するCookie上でSameSite、Secure、HttpOnly、またはDomainをオーバーライドする可能性があります。これは、Set-Cookie 属性の注入の問題です(CWE-74)。この問題は cookies 0.9.2 で修正され、RFC 6265 文字セットに対してドメインとパスを検証します。回避策として、信頼できない入力から派生するのではなく、ドメインとパスアプリケーションセットを保持してください。(CVE-2026-88038)

Nessus は、ベンダーから報告されたパッケージの存在に依存していることに注意してください。

The Linux/Unix host has one or more packages installed that are impacted by a vulnerability without a vendor supplied patch available.

  - cookies is a Node.js library for reading and writing HTTP cookies, used by Koa via ctx.cookies. In     versions before 0.9.2 the library validates the cookie name and value against character sets that reject     the semicolon separator, but the domain and path options are checked only against a permissive RFC 7230     field-content matcher that allows semicolons, and both are written into the Set-Cookie header unescaped.
    An application that passes untrusted or request-derived data into the domain or path option can therefore     inject additional cookie attributes, overriding SameSite, Secure, HttpOnly, or Domain on the cookies the     application issues. This is a Set-Cookie attribute injection issue (CWE-74). The issue is fixed in cookies     0.9.2, which validates domain and path against RFC 6265 character sets. As a workaround, keep domain and     path application-set rather than derived from untrusted input. (CVE-2026-88038)

Note that Nessus relies on the presence of the package as reported by the vendor.

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
344695	Linux Distros 未修補弱點：CVE-2026-88038	Nessus	Misc.	2026/9/11	2026/9/18	medium
344695	Linux Distros 未修补的漏洞：CVE-2026-88038	Nessus	Misc.	2026/9/11	2026/9/18	medium
344695	Linux Distros のパッチ未適用の脆弱性: CVE-2026-88038	Nessus	Misc.	2026/9/11	2026/9/18	medium
344695	Linux Distros Unpatched Vulnerability : CVE-2026-88038	Nessus	Misc.	2026/9/11	2026/9/18	medium

检测

插件搜索

medium

medium

medium

medium