There are packages installed that are affected by a vulnerability referenced in the following CVE:

  - Mermaid is a JavaScript based diagramming and charting tool that uses Markdown-inspired text definitions
    and a renderer to create and modify complex diagrams. An attacker is able to inject arbitrary `CSS` into
    the generated graph allowing them to change the styling of elements outside of the generated graph, and
    potentially exfiltrate sensitive information by using specially crafted `CSS` selectors. The following
    example shows how an attacker can exfiltrate the contents of an input field by bruteforcing the `value`
    attribute one character at a time. Whenever there is an actual match, an `http` request will be made by
    the browser in order to "load" a background image that will let an attacker know what's the value of the
    character. This issue may lead to `Information Disclosure` via CSS selectors and functions able to
    generate HTTP requests. This also allows an attacker to change the document in ways which may lead a user
    to perform unintended actions, such as clicking on a link, etc. This issue has been resolved in version
    9.1.3. Users are advised to upgrade. Users unable to upgrade should ensure that user input is adequately
    escaped before embedding it in CSS blocks. (CVE-2022-31108)

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且供應商未提供可用的修補程式。

  - Mernail 是一種以 JavaScript 為基礎的圖表繪製和圖表工具，其使用受 Markdown 啟發的文字定義和轉譯器來建立和修改複雜的圖表。攻擊者可在產生的圖形中插入任意「CSS」，允許他們變更產生的圖形之外的元素樣式，並可能透過使用特製的「CSS」選擇器洩漏敏感資訊。下列範例顯示攻擊者可如何透過每次一個字元對 `value` 屬性進行暴力破解，進而洩漏輸入欄位的內容。只要有實際相符項目，瀏覽器就會提出 `http` 要求，以載入背景影像，讓攻擊者知道字元的值是什麼。此問題可能會透過能夠產生 HTTP 要求的 CSS 選取器和函式，導致「資訊洩漏」。這也允許攻擊者以可能導致使用者執行非預期動作的方式變更文件，例如按一下連結等。此問題已在 9.1.3 版中獲得解決。建議所有使用者進行升級。無法升級的使用者應確保充分逸出使用者輸入，然後再將其嵌入 CSS 區塊。 (CVE-2022-31108)

請注意，Nessus 依賴供應商報告的套件存在。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - Mermaid 是一种基于 JavaScript 的图表制作工具，该工具使用受 Markdown 启发的文本定义和渲染器来创建和修改复杂图表。攻击者可通过使用特制的“CSS”选择器，向生成的图表中注入任意“CSS”，允许更改生成的图表之外的元素样式，并可能泄露敏感信息。以下示例显示攻击者如何通过一次一个字符地暴力破解“value”属性来泄露输入字段的内容。每当存在实际匹配项时，浏览器就会发出 `http` 请求，以加载让攻击者知道什么是字符值的背景图像。此问题可能通过能够生成 HTTP 请求的 CSS 选择器和函数导致“信息泄露”。这还允许攻击者以可能导致用户执行非预期操作（例如单击链接等）的方式更改文档。此问题已在版本 9.1.3 中得到解决。建议用户升级。无法升级的用户应确保用户输入经过充分转义，然后将其嵌入 CSS 块中。 (CVE-2022-31108)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - マーメイドは、JavaScript ベースのダイアグラム作成およびチャート作成ツールであり、Markdown から着想を得たテキスト定義とレンダラーを使用して複雑なダイアグラムを作成および変更します。攻撃者が、生成されたグラフに任意の「CSS」を挿入して、生成されたグラフ外の要素のスタイルを変更したり、特別に細工された「CSS」セレクターを使用して機密情報を漏えいさせたりする可能性があります。次の例は、攻撃者が「value」属性を 1 文字ずつブルートフォース攻撃することで、入力フィールドのコンテンツを抽出する方法を示しています。実際に一致するものがある場合は常に、攻撃者に文字の値を知らせるための背景画像を読み込むために、ブラウザによって「http」リクエストが作成されます。この問題により、CSS セレクターおよび HTTP リクエストを生成できる関数を通じた「情報漏洩」が発生する可能性があります。これにより、攻撃者は、ユーザーがリンクをクリックするなど、意図しないアクションを実行する可能性のある方法で、ドキュメントを変更することもできます。この問題はバージョン9.1.3で解決済みです。ユーザーにアップグレードすることを推奨します。アップグレードできないユーザーは、CSS ブロックに埋め込む前に、ユーザー入力が適切にエスケープされていることを確認する必要があります。 （CVE-2022-31108）

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

The Linux/Unix host has one or more packages installed that are impacted by a vulnerability without a vendor supplied patch available.

  - Mermaid is a JavaScript based diagramming and charting tool that uses Markdown-inspired text definitions     and a renderer to create and modify complex diagrams. An attacker is able to inject arbitrary `CSS` into     the generated graph allowing them to change the styling of elements outside of the generated graph, and     potentially exfiltrate sensitive information by using specially crafted `CSS` selectors. The following     example shows how an attacker can exfiltrate the contents of an input field by bruteforcing the `value`     attribute one character at a time. Whenever there is an actual match, an `http` request will be made by     the browser in order to load a background image that will let an attacker know what's the value of the     character. This issue may lead to `Information Disclosure` via CSS selectors and functions able to     generate HTTP requests. This also allows an attacker to change the document in ways which may lead a user     to perform unintended actions, such as clicking on a link, etc. This issue has been resolved in version     9.1.3. Users are advised to upgrade. Users unable to upgrade should ensure that user input is adequately     escaped before embedding it in CSS blocks. (CVE-2022-31108)

Note that Nessus relies on the presence of the package as reported by the vendor.

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
420265	SCA: security update for mermaid (GHSA-x3vm-38hw-55wf)	Tenable Cloud Security	SCA Checks	2025/1/23	2026/7/2	medium
420265	SCA: security update for mermaid (GHSA-x3vm-38hw-55wf)	Tenable Self-Hosted Container Security	SCA Checks	2025/1/23	2026/7/2	medium
224705	Linux Distros 未修補弱點：CVE-2022-31108	Nessus	Misc.	2025/3/5	2026/7/18	medium
224705	Linux Distros 未修补的漏洞: CVE-2022-31108	Nessus	Misc.	2025/3/5	2026/7/18	medium
224705	Linux Distros のパッチ未適用の脆弱性: CVE-2022-31108	Nessus	Misc.	2025/3/5	2026/7/18	medium
224705	Linux Distros Unpatched Vulnerability : CVE-2022-31108	Nessus	Misc.	2025/3/5	2026/7/18	medium

检测

插件搜索

medium

medium

medium

medium

medium

medium