The Linux/Unix host has one or more packages installed that are impacted by a vulnerability without a vendor supplied patch available.

  - In Sanitize (RubyGem sanitize) greater than or equal to 3.0.0 and less than 5.2.1, there is a cross-site     scripting vulnerability. When HTML is sanitized using Sanitize's relaxed config, or a custom config that     allows certain elements, some content in a math or svg element may not be sanitized correctly even if math     and svg are not in the allowlist. You are likely to be vulnerable to this issue if you use Sanitize's     relaxed config or a custom config that allows one or more of the following HTML elements: iframe, math,     noembed, noframes, noscript, plaintext, script, style, svg, xmp. Using carefully crafted input, an     attacker may be able to sneak arbitrary HTML through Sanitize, potentially resulting in XSS (cross-site     scripting) or other undesired behavior when that HTML is rendered in a browser. This has been fixed in     5.2.1. (CVE-2020-4054)

Note that Nessus relies on the presence of the package as reported by the vendor.

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - 在版本不低于 3.0.0 但低于 5.2.1 Sanitize (RubyGem sanitize) 中，存在跨站脚本漏洞。使用 Sanitize 的宽松配置或允许某些元素的自定义配置审查 HTML 时，可能无法正确审查 math 或 svg 元素中的某些内容，即使 math 和 svg 不在允许列表中。如果您使用的清理宽松配置或允许以下一个或多个 HTML 元素的自定义配置则可能容易受到此问题的影响iframe、math、noembed、noframes、noscript、plaintext、script、style、svg、xmp。使用精心构建的输入，攻击者或可通过 Sanitize 来偷偷入侵任意 HTML，该 HTML 在浏览器中呈现时，可能导致 XSS（跨站脚本）或其他意外行为。已在 5.2.1 中修复此问题。(CVE-2020-4054)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且廠商未提供可用的修補程式。

  -在大於等於 3.0.0 且小於 5.2.1 的 Sanitize  (RubyGem sanitize) 中，存在一個跨網站指令碼弱點。使用 Sanitize 的寬鬆組態或允許特定元素的自訂組態清理 HTML 時，即使 math 和 svg 不在允許清單中，math 或 svg 元素中的部分內容仍可能無法正確清理。如果您使用清理寬鬆的組態或使用允許下列一或多個下列 HTML 元素的自訂組態iframe、math、noembed、noframes、noscript、plaintext、script、style、svg、xmp則可能容易受到此問題的影響。若使用特製的輸入，攻擊者可能會透過 Sanitize 來暗中檢視任意 HTML，這可能導致在瀏覽器中轉譯 HTML 時發生 XSS (跨網站指令碼) 或其他不良行為。5.2.1 版中已修正此問題。(CVE-2020-4054)

請注意，Nessus 的判定取決於廠商所報告的套件是否存在。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - 3.0.0以上で5.2.1未満のSanitize（RubyGemサニタイズ）で、クロスサイトスクリプティングの脆弱性が存在します。Sanitizeの緩和された構成または特定の要素を許可するカスタム構成を使用してHTMLがサニタイズされる場合は、mathとsvgが許可リストに含まれていない場合でも、mathまたはsvg要素の一部のコンテンツが正しくサニタイズされない可能性があります。サニタイズの緩和された構成、またはカスタム構成を使用して、HTML 要素の 1 つ以上を許可する場合、この問題に脆弱である可能性がありますiframe、math、noembed、noframes、noscript、平文、script、style、svg、xmp。注意深く細工された入力を使用して、攻撃者がSanitizeを介して任意のHTMLを忍び込ませ、そのHTMLがブラウザでレンダリングされたときに、XSS（クロスサイトスクリプティング）またはその他の好ましくない動作を引き起こす可能性があります。これは 5.2.1 で修正されました。(CVE-2020-4054)

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

The remote Ubuntu 20.04 LTS host has a package installed that is affected by a vulnerability as referenced in the USN-4543-1 advisory.

    Micha Bentkowski discovered that Sanitize did not properly sanitize some math or svg HTML under certain     circumstances. A remote attacker could potentially exploit this to conduct cross-site scripting (XSS)     attacks. (CVE-2020-4054)

Tenable has extracted the preceding description block directly from the Ubuntu security advisory.

Note that Nessus has not tested for this issue but has instead relied only on the application's self-reported version number.

Michal Bentkowski discovered that ruby-sanitize, a whitelist-based HTML sanitizer, is prone to a HTML sanitization bypass vulnerability when using the 'relaxed' or a custom config allowing certain elements.
Content in a <math> or <svg> element may not be sanitized correctly even if math and svg are not in the allowlist.

Michal Bentkowski氏は、特定の要素を許可する「relaxed」またはカスタム構成を使用する際に、ホワイトリストベースのHTMLサニタイザーであるruby-sanitizeがHTMLサニタイズバイパスに脆弱であることを発見しました。
<math>または<svg>要素のコンテンツは、mathおよびsvgが許可リストにない場合でも正しくサニタイズされないことがあります。

リモートのUbuntu 20.04 LTSホストには、USN-4543-1のアドバイザリに記載された脆弱性の影響を受けるパッケージがインストールされています。

  - 3.0.0以上で5.2.1未満のSanitize（RubyGemサニタイズ）で、クロスサイトスクリプティングの脆弱性が存在します。Sanitizeの緩和された構成または特定の要素を許可するカスタム構成を使用してHTMLがサニタイズされる場合は、mathとsvgが許可リストに含まれていない場合でも、mathまたはsvg要素の一部のコンテンツが正しくサニタイズされない可能性があります。Sanitizeの緩和された構成または以下のHTML要素の1つ以上を許可するカスタム構成を使用している場合は、この問題に対して脆弱な可能性があります。iframe、math、noembed、noframes、noscript、plaintext、script、style、svg、xmp。注意深く細工された入力を使用して、攻撃者がSanitizeを介して任意のHTMLを忍び込ませ、そのHTMLがブラウザでレンダリングされたときに、XSS（クロスサイトスクリプティング）またはその他の好ましくない動作を引き起こす可能性があります。これは5.2.1で修正されました。（CVE-2020-4054）

Nessusはこの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

遠端 Ubuntu 20.04 LTS 主機已安裝一個套件，該套件會受 USN-4543-1 公告中所提及的弱點影響。

  -在大於等於 3.0.0 且小於 5.2.1 的 Sanitize  (RubyGem sanitize) 中，存在一個跨網站指令碼弱點。使用 Sanitize 的寬鬆組態或允許特定元素的自訂組態清理 HTML 時，即使 math 和 svg 不在允許清單中，math 或 svg 元素中的部分內容仍可能無法正確清理。如果使用 Sanitize 的寬鬆組態或允許下列一或多個 HTML 元素的自訂組態，您可能容易受此問題影響：iframe、math、noembed、noframes、noscript、純文字、指令碼、樣式、svg、xmp。若使用特製的輸入，攻擊者可能會透過 Sanitize 來暗中檢視任意 HTML，這可能導致在瀏覽器中轉譯 HTML 時發生 XSS (跨網站指令碼) 或其他不良行為。5.2.1 版中已修正此問題。(CVE-2020-4054)

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼。

Michal Bentkowski 發現，白名單型 HTML 清理程式 ruby-sanitize 在使用允許特定元素的「relaxed」或自訂組態時，容易產生 HTML 清理繞過弱點。
即使 math 和 svg 不在允許清單中，也可能無法正確清理 <math> 或 <svg> 元素中的內容。

Michal Bentkowski 发现，在使用支持某些元素的“relaxed”或自定义配置时，基于白名单的 HTML 审查程序 ruby-sanitize 容易受到 HTML 审查绕过漏洞的影响。
即使 math 和 svg 不在允许列表中，也可能无法正确审查 <math> 或 <svg> 元素中的内容。

远程 Ubuntu 20.04 LTS 主机上安装的程序包受到 USN-4543-1 公告中提及的漏洞的影响。

  - 在版本不低于 3.0.0 但低于 5.2.1 Sanitize (RubyGem sanitize) 中，存在跨站脚本漏洞。使用 Sanitize 的宽松配置或允许某些元素的自定义配置审查 HTML 时，可能无法正确审查 math 或 svg 元素中的某些内容，即使 math 和 svg 不在允许列表中。如果使用 Sanitize 的宽松配置或允许一个或多个下列 HTML 元素的自定义配置，您可能容易受到此问题的影响：iframe、math、noembed、noframes、noscript、plaintext、script、style、svg、xmp。使用精心构建的输入，攻击者或可通过 Sanitize 来偷偷入侵任意 HTML，该 HTML 在浏览器中呈现时，可能导致 XSS（跨站脚本）或其他意外行为。已在 5.2.1 中修复此问题。(CVE-2020-4054)

请注意，Nessus 尚未测试此问题，而是只依靠应用程序自我报告的版本号。

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
257074	Linux Distros Unpatched Vulnerability : CVE-2020-4054	Nessus	Misc.	2025/8/27	2025/8/27	high
257074	Linux Distros 未修补的漏洞：CVE-2020-4054	Nessus	Misc.	2025/8/27	2025/8/27	high
257074	Linux Distros 未修補的弱點：CVE-2020-4054	Nessus	Misc.	2025/8/27	2025/8/27	high
257074	Linux Distros のパッチ未適用の脆弱性: CVE-2020-4054	Nessus	Misc.	2025/8/27	2025/8/27	high
140803	Ubuntu 20.04 LTS : Sanitize vulnerability (USN-4543-1)	Nessus	Ubuntu Local Security Checks	2020/9/26	2024/8/29	high
138650	Debian DSA-4730-1 : ruby-sanitize - security update	Nessus	Debian Local Security Checks	2020/7/20	2024/2/29	high
138650	Debian DSA-4730-1: ruby-sanitize - セキュリティ更新	Nessus	Debian Local Security Checks	2020/7/20	2024/2/29	high
140803	Ubuntu 20.04 LTS：Sanitizeの脆弱性（USN-4543-1）	Nessus	Ubuntu Local Security Checks	2020/9/26	2024/8/29	high
140803	Ubuntu 20.04 LTS：Sanitize 弱點 (USN-4543-1)	Nessus	Ubuntu Local Security Checks	2020/9/26	2024/8/29	high
138650	Debian DSA-4730-1：ruby-sanitize - 安全性更新	Nessus	Debian Local Security Checks	2020/7/20	2024/2/29	high
138650	Debian DSA-4730-1：ruby-sanitize - 安全更新	Nessus	Debian Local Security Checks	2020/7/20	2024/2/29	high
140803	Ubuntu 20.04 LTS：Sanitize 漏洞 (USN-4543-1)	Nessus	Ubuntu Local Security Checks	2020/9/26	2024/8/29	high

检测

插件搜索

high

high

high

high

high

high

high

high

high

high

high

high