There are packages installed that are affected by a vulnerability referenced in the following CVE:

  - An interpretation-conflict (CWE-436) vulnerability in node-forge versions 1.3.1 and earlier enables
    unauthenticated attackers to craft ASN.1 structures to desynchronize schema validations, yielding a
    semantic divergence that may bypass downstream cryptographic verifications and security decisions.
    (CVE-2025-12816)

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且供應商未提供可用的修補程式。

  - node-forge 1.3.1 版和更舊版本中有一個解譯衝突 (CWE-436) 弱點可讓未經驗證的攻擊者建立 ASN.1 結構以取消同步配置驗證進而產生可能繞過下游密碼編譯驗證和安全性決策的語意分歧。
    (CVE-2025-12816)

請注意，Nessus 依賴供應商報告的套件存在。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - 未经身份验证的攻击者可利用 node-forge 版本 1.3.1 和较早版本中的一个解释冲突 (CWE-436) 漏洞特制 ASN.1 结构使方案验证去同步产生可能绕过下游加密验证和安全决策的语义分歧。
    (CVE-2025-12816)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

リモートの openSUSE 16 ホストに、複数の脆弱性の影響を受けているパッケージがインストールされています。これらの脆弱性は openSUSE-SU-2026:20177-1 アドバイザリで言及されています。

    バージョン 3.5.0 への更新:

    セキュリティの問題を修正:

    - CVE-2025-13465_.unset 関数と _.omit 関数のプロトタイプ汚染が、グローバルからのメソッドの削除につながる可能性がありますbsc#1257329。
    - CVE-2025-12816暗号検証のバイパスを可能にする解釈競合脆弱性bsc#1255588。

    その他の更新およびバグ修正:

    - への更新 3.5.0 jsc#PED-13824

      * [機能] Remote-write受信者の認証方法として Azure Workload Identity のサポートを追加します。
      * [FEATURE] PromQL機能フラグの背後に first_over_time(...) および ts_of_first_over_time(...) を追加します。
      * [機能] フェデレーションカスタムバケットPHCBでネイティブヒストグラムのサポートを追加します。
      * [強化] PromQL特定のヒストグラム操作にあるカウンターリセットの競合に対して、警告レベルの注釈を追加します。
      * [機能強化] UIスクラブ間隔とスクラブタイムアウトをターゲットページに追加します。

    - 3.4.0 への更新:

      * ec2、lightail および ecs サービスに対して統合された AWS サービスディスカバリーを追加します。
      * [機能] ネイティブヒストグラムは現在安定していますが、オプションです。
      * [機能] UI検出された各ターゲットの詳細な再ラベル付け手順を表示します。
      * [ENHANCEMENT] アラートまだ評価されていないアラートルールに対して不明な状態を追加します。
      * [バグ修正] Scrape起動時に scpe キャッシュがクリアされないバグを修正します。

    - 3.3.0 への更新:

      * [機能] Spring Boot 3.3 には Prometheus Client 1.xのサポートが含まれます。
      * [機能強化] Dropwizard Metrics の依存関係管理が削除されました。

    - 3.2.0 への更新:

      * [機能] OAuth2jwt-bearer grant-type をサポートしますRFC7523 3.1]
      * [ENHANCEMENT] PromQLAdd と Sub で一致しない PHCB 境界を調整します。
      * [バグ修正] TSDBNaN しきい値を持つネイティブヒストグラムカスタムバインドは現在拒否されます。

    - 3.1.0 への更新:

      * [FEATURE] Remote-write 2受信 2.0-rc.4 spec に更新します。
        作成されたタイムスタンプCTは現在、開始タイムスタンプSTと呼ばれています。
      * [バグ修正] Mixin静的 UID をリモート書き込みダッシュボードに追加します。

    - 3.0.1 への更新:

      * [バグ修正] Promqlサブクエリを開いたままにします。
      * [バグ修正] クエリログが有効な場合のメモリリークを修正します。
      * [バグ修正] /v1/label/:name/values エンドポイントの utf8 名をサポートします。

    - 3.0.0 への更新:

      * [変更] 廃止された機能フラグが削除されました。
      * [FEATURE] 新しい UI。
      * [機能] リモート書き込み 2.0
      * [機能] OpenTelemetry のサポート。
      * [機能] UTF-8 サポートが現在安定しており、デフォルトで有効になっています。
      * [機能] OTLP 取り込み
      * [機能] ネイティブヒストグラム。
      * [バグ修正] PromQLヒストグラムの count_values を修正。
      * [バグ修正] TSDBheadAppender の古い値の競合を修正します。
      * [バグ修正] UI空のメトリクス名用のセレクター / シリーズフォーマットを修正します。

    - 2.55.0 への更新:

      * [FEATURE] PromQL「last_over_time」関数を追加します。
      * [機能] エージェント「prometheus_agent_build_info」メトリクスを追加します。
      * [ENHANCEMENT] PromQL「group()」および「group by()」を最適化します。
      * [機能強化] TSDBブロックのロード時のメモリ使用率を削減します。
      * [バグ修正] Scrapeターゲットが複数回スクラブされる可能性があるバグを修正します。

    - 2.54.0 への更新:

      * [CHANGE] Remote-Writemost_timestamp_in_seconds および queue_highest_sent_timestamp_seconds メトリクスは 0 に初期化されました。
      * [CHANGE] APIAPI 応答の情報注釈から警告を分割します。
      * [機能] Remote-Writeバージョン 2.0 実験的。機能フラグにより WAL でメタデータを確認できます。
      * [FEATURE] PromQLlimitk() および limit_ratio() 集約演算子を追加します。
      * [ENHANCEMENT] PromQLリテラル数値のアンダースコアを受け入れます。
      * [機能強化] PromQL浮動リテラル数と期間は現在代替可能です実験的。
      * [機能強化] PromQL実験ネイティブヒストグラムhitogram_count および histogram_sum 関数を最適化します。
      * [バグ修正] PromQLネイティブヒストグラムにあるさまざまな問題を修正します。
      * [バグ修正] TSDBheadAppender の古い値の競合を修正します。
      * [バグ修正] OTLP レシーバー非標準単位のコロンを許可します。

Tenable は、前述の記述ブロックを SUSE セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - node-forge バージョン 1.3.1 以前の解釈競合CWE-436の脆弱性により、認証されていない攻撃者が ASN.1 構造体を細工してスキーマ検証を逆同期させ、セマンティック逸脱を引き起こして、ダウンストリームの暗号化検証およびセキュリティ判断をバイパスする可能性があります。
    (CVE-2025-12816)

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

リモートの SUSE Linux SLED15 / SLED_SAP15 / SLES15 / SLES_SAP15 / openSUSE 15 ホストには、SUSE-SU-2026:1008-1 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    golang-github-prometheus-alertmanager、 golang-github-prometheus-node_exporter

    - 顧客に影響を与えないビルド問題を修正する内部変更

    golang-github-prometheus-prometheus:

    - 修正されたセキュリティ問題:

      * CVE-2026-27606ロールアップのパストラバーサルによる任意のファイル書き込みを修正しましたbsc#1258893
      * CVE-2026-25547CPU とメモリの過剰消費を引き起こす無制限のブレース範囲拡張を修正bsc#1257841
      * CVE-2026-1615、 CVE-2025-61140 セキュリティの問題により、古い Web UI はもはや構築されませんbsc#1257897、 bsc#1257442]
      * CVE-2025-13465lodash パッケージをバージョン 4.17.23 に更新し、プロトタイプ汚染の脆弱性を修正しますbsc#1257329
      * CVE-2025-12816暗号化検証のバイパスを可能にする解釈競合の脆弱性bsc#1255588

    - 次のハイライトされた変更を含む 2.53.4 から 3.5.0 へのバージョン更新jsc#PED-13824

      * 現代化されたインターフェイス全く新しい UI を導入しました
      * クラウドおよび認証の強化: AWS サービス検出 (EC2、ECS、Lightsail) および Azure Workload Identity サポートが追加され、より安全なネイティブクラウド認証が可能になりました。
      * パフォーマンス標準OpenTelemetryOTLP取り込みを完全に統合し、ネイティブ Histogram を実験的な機能から安定版stable機能へ移動しました。
      * 高度なデータエクスポートリモート書き込みをロールアウト 2.0、データを外部システムに送信する際にパフォーマンスとメタデータ処理が向上しました。
      * クエリパワーPromQL 関数first_over_time や last_over_time などを追加し、グループ化操作を最適化しました。
      * 可視性の向上: UI に詳細な再ラベル付け手順、ス細工間隔、タイムアウトが表示されるようになり、ターゲットが正しく報告されない理由のトラブルシューティングが容易になりました。
      * 重要修正クエリロギングに関連する重大なメモリ漏洩を解決し、ターゲットが意図せず複数回スケープされるバグを修正しました。

Tenable は、前述の記述ブロックを SUSE セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートの SUSE Linux SLES15/ openSUSE 15 ホストには、SUSE-SU-2026:1013-1 のアドバイザリに記載されている複数の脆弱性の影響を受けるパッケージがインストールされています。

    dracut-saltboot:

    - 1.1.0 へのバージョン更新:

      * DHCP リクエストを最大 3 回再試行します (bsc#1253004)

    golang-github-QubitProducts-exporter_exporter:

    - 非顧客対応の最適化と更新

    golang-github-boynux-squid_exporter:

    - 次のハイライトされた変更と修正を含む 1.6.0 から 1.13.0 へのバージョン更新 (jsc#PED-14971):

      * Squid 6 に対する互換性および squid-internal-mgr メトリクスパスに対するサポートを追加しました
      * TLS および基本認証をエクスポーターウェブインターフェースに追加しました
      * Squid プロキシ自体に対して認証するためのエクスポージャーのサポートを追加しました
      * root 権限を必要とせずにプロセス情報を収集できるようにします
      * エクスポーターは、環境変数を使用して設定できるようになりました
      * データフィルタリングを改善するために、すべてのエクスポートされたメトリクスにカスタムラベルのサポートを追加しました
      * Squid が実行中かどうか (squid_up)、スクレイプにかかる時間、エラーが発生したかどうかを追跡するための新しいメトリクス
      * プロキシの速度とパフォーマンスを分析するために「サービス時間」メトリクスを追加しました。
      * 接続のボトルネックを防ぐために、オープンファイル記述子のメトリクス (process_open_fds) を追加しました
      * 正確なレポートを確保するために、squid_client_http_requests_total メトリクスを修正しました


    golang-github-lusitaniae-apache_exporter:

    - 1.0.8 から 1.0.10 へのバージョン更新:

      * github.com/prometheus/client_golang を 1.21.1 に更新しました 
      * github.com/prometheus/common を 0.63.0 に更新しました 
      * github.com/prometheus/exporter-toolkit を 0.14.0 に更新しました 
      * シグナルハンドラーロギングを修正しました

    golang-github-prometheus-prometheus:

    - 修正されたセキュリティ問題:

      * CVE-2026-27606: ロールアップのパストラバーサルによる任意のファイル書き込みを修正しました (bsc#1258893)
      * CVE-2026-25547: 過剰な CPU およびメモリ消費を引き起こすブレース範囲の拡張を修正しました (bsc#1257841)
      * CVE-2026-1615、CVE-2025-61140 セキュリティの問題により、古い Web UI はもはや構築されません (bsc#1257897、bsc#1257442)
      * CVE-2025-13465: lodash パッケージをバージョン 4.17.23 に更新し、プロトタイプ汚染の脆弱性を修正します (bsc#1257329)
      * CVE-2025-12816: 暗号化検証のバイパスを可能にする解釈競合の脆弱性 (bsc#1255588)

    - 次のハイライトされた変更を含む 2.53.4 から 3.5.0 へのバージョン更新 (jsc#PED-13824):

      * インターフェースの刷新: 全く新しい UI を導入しました
      * クラウドおよび認証の強化: AWS サービス検出 (EC2、ECS、Lightsail) および Azure Workload Identity サポートが追加され、より安全なネイティブクラウド認証が可能になりました。
      * パフォーマンス標準: OpenTelemetry (OTLP) 取り込みを完全に統合し、ネイティブヒストグラムを実験的機能から安定版機能へ移行しました。
      * 高度なデータエクスポート: リモート書き込み 2.0 をロールアウトし、データを外部システムに送信する際にパフォーマンスとメタデータ処理が向上しました。
      * クエリパワー: PromQL 関数 (first_over_time や last_over_time など) を追加し、グループ化操作を最適化しました
      * 可視性の向上: UI に詳細な再ラベル付け手順、スクレイプ間隔、タイムアウトが表示されるようになり、ターゲットが正しく報告されない理由のトラブルシューティングが容易になりました。
      * 重要な修正: クエリロギングに関連する重大なメモリ漏洩を解決し、ターゲットが意図せず複数回スクレイプされるバグを修正しました

    grafana:

    - 修正されたセキュリティ問題:

      * CVE-2026-21722: 公開ダッシュボード注釈: 時間選択が無効な場合はダッシュボードの時間範囲を使用します (bsc#1258136)
      * CVE-2026-21721: ダッシュボードアクセス許可 API によるアクセスコントロールを修正しました (bsc#1257337)
      * CVE-2026-21720: 認証されていない DoS を修正しました (bsc#1257349)
      * CVE-2025-68156: ビルトイン関数の無限再帰を通じた潜在的な DoS を修正しました (bsc#1255340)
      * CVE-2025-3415: DingDing アラート統合 URL のビューアーレベルユーザーへの漏洩を修正しました (bsc#1245302)

    - 次のハイライトされた変更と修正を含む 11.5.10 から 11.6.11 へのバージョン更新:

      * パフォーマンス向上: よりスムーズなマップ視覚化のために WebGL ベースのジオマップを導入し、UI オーバーレイからぼやけた背景を削除してインターフェースを高速化しました
      * ワンクリックアクション: ビジュアライゼーションで、ワンクリックのリンクとアクションを介したよりすばやいナビゲーションをサポートするようになりました
      * アラート履歴: アラートルールにバージョン履歴が追加され、時間の経過に伴う変更を追跡できるようになりました
      * サービスアカウント: 起動時に古い API キーをより安全なサービスアカウントに自動的に移行するようにしました
      * Cron サポート: 注釈では、より柔軟なスケジューリングのために Cron 構文をサポートするようになりました
      * ID および認証: Avatar 機能を強化し (現在はサインインが必要)、Grafana がサブパスでホストされている場合のいくつかのログインリダイレクト問題を修正しました
      * データソースのサポート: Cloud Partner Prometheus データソースのサポートを追加し、Azure 凡例フォーマットを改善しました
      * アラート制限: システムのストレスを回避するために、拡張された通知テンプレートのサイズ制限を追加しました
      * RBAC: ロールベースのアクセスコントロール (RBAC) を、reqAction フィールドを通じて Alertmanager に統合しました
      * データの一貫性: 繰り返しの行またはネスト化されたクエリで変数が処理される方法に関する Graphite と InfluxDB のいくつかの問題を修正しました
      * ダッシュボードの信頼性: 行の繰り返しと「自己参照」データリンクに関連するバグを解決しました
      * アラート修正: アラートルールの競合状態によって引き起こされる重大な「パニック」(クラッシュ) にパッチが適用され、連絡先が正しく機能しない問題が修正されました
      * URL 処理: URL パラメーターの「true」値が正しく読み取られなかったバグを修正しました

    prometheus-blackbox_exporter:

    - 非顧客対応の最適化と更新

    spacecmd: 

    - 5.0.15 へのバージョン更新:

      * spacecmd のヘルプ ca-cert フラグにある誤字を修正しました (bsc#1253174)
      * キャッシュされた ID を整数値に変換します (bsc#1251995)
      * spacecmd のバイナリファイルのアップロードを修正しました (bsc#1253659)

    uyuni-tools:

    - 0.1.38 へのバージョン更新:

      * スタンドアロンファイルに移行する際の cobbler 構成を修正しました (bsc#1256803)
      * /etc/uyuuni/proxy フォルダーのカスタム apache および squid 構成を検出します
      * sshd を構成するために ssh 調整を追加します (bsc#1253738)
      * Supportconfig エラーを無視します (bsc#1255781)
      * デフォルトのイメージタグを 5.0.7 へ更新
      * podman コンテナ用の cgroup マウントを削除 (bsc#1253347)
      * レジストリフラグは文字列の可能性があります (bsc#1254589)
      * 静的 supportconfig 名を使用して動的検索を回避 (bsc#1257941)

Tenable は、前述の記述ブロックを SUSE セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

The Linux/Unix host has one or more packages installed that are impacted by a vulnerability without a vendor supplied patch available.

  - An interpretation-conflict (CWE-436) vulnerability in node-forge versions 1.3.1 and earlier enables     unauthenticated attackers to craft ASN.1 structures to desynchronize schema validations, yielding a     semantic divergence that may bypass downstream cryptographic verifications and security decisions.
    (CVE-2025-12816)

Note that Nessus relies on the presence of the package as reported by the vendor.

The remote openSUSE 16 host has a package installed that is affected by multiple vulnerabilities as referenced in the openSUSE-SU-2026:20177-1 advisory.

    Update to version 3.5.0:

    Security issues fixed:

    - CVE-2025-13465: prototype pollution in the _.unset and _.omit functions can lead to deletion of methods     from global (bsc#1257329).
    - CVE-2025-12816: interpretation conflict vulnerability allowing bypassing cryptographic verifications     (bsc#1255588).

    Other updates and bugfixes:

    - Update to 3.5.0 (jsc#PED-13824):

      * [FEATURE] Remote-write: Add support for Azure Workload Identity         as an authentication method for the receiver.
      * [FEATURE] PromQL: Add first_over_time(...) and         ts_of_first_over_time(...) behind feature flag.
      * [FEATURE] Federation: Add support for native histograms with         custom buckets (NHCB).
      * [ENHANCEMENT] PromQL: Add warn-level annotations for counter         reset conflicts in certain histogram operations.
      * [ENHANCEMENT] UI: Add scrape interval and scrape timeout to         targets page.

    - Update to 3.4.0:

      * Add unified AWS service discovery for ec2, lightsail and ecs services.
      * [FEATURE] Native histograms are now a stable, but optional         feature.
      * [FEATURE] UI: Show detailed relabeling steps for each         discovered target.
      * [ENHANCEMENT] Alerting: Add unknown state for alerting rules         that haven't been evaluated yet.
      * [BUGFIX] Scrape: Fix a bug where scrape cache would not be         cleared on startup.

    - Update to 3.3.0:

      * [FEATURE] Spring Boot 3.3 includes support for the Prometheus         Client 1.x.
      * [ENHANCEMENT] Dependency management for Dropwizard Metrics has         been removed.

    - Update to 3.2.0:

      * [FEATURE] OAuth2: support jwt-bearer grant-type (RFC7523 3.1).
      * [ENHANCEMENT] PromQL: Reconcile mismatched NHCB bounds in Add         and Sub.
      * [BUGFIX] TSDB: Native Histogram Custom Bounds with a NaN         threshold are now rejected.

    - Update to 3.1.0:

      * [FEATURE] Remote-write 2 (receiving): Update to 2.0-rc.4 spec.
        created timestamp (CT) is now called start timestamp (ST).
      * [BUGFIX] Mixin: Add static UID to the remote-write dashboard.

    - Update to 3.0.1:

      * [BUGFIX] Promql: Make subqueries left open.
      * [BUGFIX] Fix memory leak when query log is enabled.
      * [BUGFIX] Support utf8 names on /v1/label/:name/values endpoint.

    - Update to 3.0.0:

      * [CHANGE] Deprecated feature flags removed.
      * [FEATURE] New UI.
      * [FEATURE] Remote Write 2.0.
      * [FEATURE] OpenTelemetry Support.
      * [FEATURE] UTF-8 support is now stable and enabled by default.
      * [FEATURE] OTLP Ingestion.
      * [FEATURE] Native Histograms.
      * [BUGFIX] PromQL: Fix count_values for histograms.
      * [BUGFIX] TSDB: Fix race on stale values in headAppender.
      * [BUGFIX] UI: Fix selector / series formatting for empty metric         names.

    - Update to 2.55.0:

      * [FEATURE] PromQL: Add `last_over_time` function.
      * [FEATURE] Agent: Add `prometheus_agent_build_info` metric.
      * [ENHANCEMENT] PromQL: Optimise `group()` and `group by()`.
      * [ENHANCEMENT] TSDB: Reduce memory usage when loading blocks.
      * [BUGFIX] Scrape: Fix a bug where a target could be scraped         multiple times.

    - Update to 2.54.0:

      * [CHANGE] Remote-Write: highest_timestamp_in_seconds and         queue_highest_sent_timestamp_seconds metrics now initialized to         0.
      * [CHANGE] API: Split warnings from info annotations in API         response.
      * [FEATURE] Remote-Write: Version 2.0 experimental, plus metadata         in WAL via feature flag.
      * [FEATURE] PromQL: add limitk() and limit_ratio() aggregation         operators.
      * [ENHANCEMENT] PromQL: Accept underscores in literal numbers.
      * [ENHANCEMENT] PromQL: float literal numbers and durations are         now interchangeable (experimental).
      * [ENHANCEMENT] PromQL (experimental native histograms): Optimize         histogram_count and histogram_sum functions.
      * [BUGFIX] PromQL: Fix various issues with native histograms.
      * [BUGFIX] TSDB: Fix race on stale values in headAppender.
      * [BUGFIX] OTLP receiver: Allow colons in non-standard units.

Tenable has extracted the preceding description block directly from the SUSE security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

The remote SUSE Linux SLED15 / SLED_SAP15 / SLES15 / SLES_SAP15 / openSUSE 15 host has packages installed that are affected by multiple vulnerabilities as referenced in the SUSE-SU-2026:1008-1 advisory.

    golang-github-prometheus-alertmanager, golang-github-prometheus-node_exporter:

    - Internal changes to fix build issues with no impact for customers

    golang-github-prometheus-prometheus:

    - Security issues fixed:

      * CVE-2026-27606: Fixed arbitrary file write via path traversal in rollup (bsc#1258893)
      * CVE-2026-25547: Fixed unbounded brace range expansion leading to excessive CPU and memory consumption     (bsc#1257841)
      * CVE-2026-1615, CVE-2025-61140 The old web UI is no longer built due to security issues (bsc#1257897,     bsc#1257442)
      * CVE-2025-13465: Bump lodash package to version 4.17.23 to fix prototype pollution vulnerability     (bsc#1257329)
      * CVE-2025-12816: Interpretation conflict vulnerability allowing bypassing cryptographic verifications     (bsc#1255588)

    - Version update from 2.53.4 to 3.5.0 with the following highlighted changes (jsc#PED-13824):

      * Modernized Interface: Introduced a brand-new UI
      * Enhanced Cloud and Auth: Added unified AWS service discovery (EC2, ECS, Lightsail) and Azure Workload     Identity support         for more secure, native cloudauthentication.
      * Performance Standards: Fully integrated OpenTelemetry (OTLP) ingestion and moved Native Histograms     from experimental         to a stable feature.
      * Advanced Data Export: Rolled out Remote Write 2.0, offering better performance and metadata handling     when sending         data to external systems.
      * Query Power: Added new PromQL functions (like first_over_time and last_over_time) and optimization for     grouping         operations.
      * Better Visibility: The UI now displays detailed relabeling steps, scrape intervals, and timeouts,     making it easier         to troubleshoot why targets aren't reporting correctly.
      * Critical Fixes: Resolved significant memory leaks related to query logging and fixed bugs where     targets were         accidentally being scraped multiple times.

Tenable has extracted the preceding description block directly from the SUSE security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

The remote SUSE Linux SLES15 / openSUSE 15 host has packages installed that are affected by multiple vulnerabilities as referenced in the SUSE-SU-2026:1013-1 advisory.

    dracut-saltboot:

    - Version update to 1.1.0:

      * Retry DHCP requests up to 3 times (bsc#1253004)

    golang-github-QubitProducts-exporter_exporter:

    - Non-customer-facing optimization and update

    golang-github-boynux-squid_exporter:

    - Version update from 1.6.0 to 1.13.0 with the following highlighted changes and fixes (jsc#PED-14971):

      * Added compatibility for Squid 6 and support for the squid-internal-mgr metrics path
      * Added TLS and Basic Authentication to the exporters web interface
      * Added support for the exporter to authenticate against the Squid proxy itself
      * Allow the gathering of process information without requiring root privileges
      * The exporter can now be configured using environment variables
      * Added support for custom labels to all exported metrics for better data filtering
      * New metrics to track if Squid is running (squid_up), how long a scrape takes, and if any errors     occurred
      * Added 'service time' metrics to analyze proxy speed and performance.
      * Added a metric for open file descriptors (process_open_fds) to help prevent connection bottlenecks
      * Corrected the squid_client_http_requests_total metric to ensure accurate reporting


    golang-github-lusitaniae-apache_exporter:

    - Version update from 1.0.8 to 1.0.10:

      * Updated github.com/prometheus/client_golang to 1.21.1
      * Updated github.com/prometheus/common to 0.63.0
      * Updated github.com/prometheus/exporter-toolkit to 0.14.0
      * Fixed signal handler logging

    golang-github-prometheus-prometheus:

    - Security issues fixed:

      * CVE-2026-27606: Fixed arbitrary file write via path traversal in rollup (bsc#1258893)
      * CVE-2026-25547: Fixed unbounded brace range expansion leading to excessive CPU and memory consumption     (bsc#1257841)
      * CVE-2026-1615, CVE-2025-61140 The old web UI is no longer built due to security issues (bsc#1257897,     bsc#1257442)
      * CVE-2025-13465: Bump lodash package to version 4.17.23 to fix prototype pollution vulnerability     (bsc#1257329)
      * CVE-2025-12816: Interpretation conflict vulnerability allowing bypassing cryptographic verifications     (bsc#1255588)

    - Version update from 2.53.4 to 3.5.0 with the following highlighted changes (jsc#PED-13824):

      * Modernized Interface: Introduced a brand-new UI
      * Enhanced Cloud and Auth: Added unified AWS service discovery (EC2, ECS, Lightsail) and Azure Workload     Identity support         for more secure, native cloudauthentication.
      * Performance Standards: Fully integrated OpenTelemetry (OTLP) ingestion and moved Native Histograms     from experimental         to a stable feature.
      * Advanced Data Export: Rolled out Remote Write 2.0, offering better performance and metadata handling     when sending         data to external systems.
      * Query Power: Added new PromQL functions (like first_over_time and last_over_time) and optimization for     grouping         operations
      * Better Visibility: The UI now displays detailed relabeling steps, scrape intervals, and timeouts,     making it easier         to troubleshoot why targets aren't reporting correctly.
      * Critical Fixes: Resolved significant memory leaks related to query logging and fixed bugs where     targets were         accidentally being scraped multiple times

    grafana:

    - Security issues fixed:

      * CVE-2026-21722: Public dashboards annotations: use dashboard timerange if time selection disabled     (bsc#1258136)
      * CVE-2026-21721: Fixed access control by the dashboard permissions API (bsc#1257337)
      * CVE-2026-21720: Fixed unauthenticated DoS (bsc#1257349)
      * CVE-2025-68156: Fixed potential DoS via unbounded recursion in builtin functions (bsc#1255340)
      * CVE-2025-3415: Fixedexposure of DingDing alerting integration URL to Viewer level users (bsc#1245302)

    - Version update from 11.5.10 to 11.6.11 with the following highlighted changes and fixes:

      * Performance Boost: Introduced WebGL-powered geomaps for smoother map visualizations and         removed blurred backgrounds from UI overlays to speed up the interface
      * One-Click Actions: Visualizations now support faster navigation via one-click links and actions
      * Alerting History: Added version history for alert rules, allowing you to track changes over time
      * Service Accounts: Automated the migration of old API keys to more secure Service Accounts upon startup
      * Cron Support: Annotations now support Cron syntax for more flexible scheduling
      * Identity and Auth: Hardened the Avatar feature (now requires sign-in) and fixed several login     redirection issues         when Grafana is hosted on a subpath
      * Data Source Support: Added support for Cloud Partner Prometheus data sources and improved Azure legend     formatting
      * Alerting Limits: Added size limits for expanded notification templates to prevent system strain
      * RBAC: Integrated Role-Based Access Control (RBAC) into the Alertmanager via the reqAction field
      * Data Consistency: Fixed several issues with Graphite and InfluxDB regarding how variables are handled     in repeated         rows or nested queries
      * Dashboard Reliability: Resolved bugs involving row repeats and 'self-referencing' data links
      * Alerting Fixes: Patched a critical 'panic' (crash) caused by a race condition in alert rules and fixed     issues where         contact points weren't working correctly
      * URL Handling: Fixed a bug where 'true' values in URL parameters weren't being read correctly

    prometheus-blackbox_exporter:

    - Non-customer-facing optimization and update

    spacecmd:

    - Version update to 5.0.15:

      * Fixed typo in spacecmd help ca-cert flag (bsc#1253174)
      * Convert cached IDs to integer values (bsc#1251995)
      * Fixed spacecmd binary file upload (bsc#1253659)

    uyuni-tools:

    - Version update to 0.1.38:

      * Fixed cobbler configuration when migrating to standalone files (bsc#1256803)
      * Detect custom apache and squid config in the /etc/uyuni/proxy folder
      * Add ssh tuning to configure sshd (bsc#1253738)
      * Ignore supportconfig errors (bsc#1255781)
      * Bumped the default image tag to 5.0.7
      * Removed cgroup mount for podman containers (bsc#1253347)
      * Registry flag can be a string (bsc#1254589)
      * Use static supportconfig name to avoid dynamic search (bsc#1257941)

Tenable has extracted the preceding description block directly from the SUSE security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
436911	SCA: security update for node-forge (GHSA-5gfm-wpxj-wjgq)	Tenable Cloud Security	SCA Checks	2026/1/23	2026/7/2	high
436911	SCA: security update for node-forge (GHSA-5gfm-wpxj-wjgq)	Tenable Self-Hosted Container Security	SCA Checks	2026/1/23	2026/7/2	high
276951	Linux Distros 未修補的弱點：CVE-2025-12816	Nessus	Misc.	2025/12/1	2026/7/16	high
276951	Linux Distros 未修补的漏洞：CVE-2025-12816	Nessus	Misc.	2025/12/1	2026/7/16	high
298293	openSUSE 16セキュリティ更新golang-github-prometheus-prometheusopenSUSE-SU-2026:20177-1]	Nessus	SuSE Local Security Checks	2026/2/7	2026/2/18	high
276951	Linux Distros のパッチ未適用の脆弱性: CVE-2025-12816	Nessus	Misc.	2025/12/1	2026/7/16	high
303785	SUSE SLED15 / SLES15 / openSUSE 15 セキュリティ更新PrometheusSUSE-SU-2026:1008-1	Nessus	SuSE Local Security Checks	2026/3/26	2026/6/26	critical
303779	SUSE SLES15:dracut-saltboot / golang-github-QubitProducts-exporter_exporter / etc(SUSE-SU-2026:1013-1)	Nessus	SuSE Local Security Checks	2026/3/26	2026/6/26	critical
276951	Linux Distros Unpatched Vulnerability : CVE-2025-12816	Nessus	Misc.	2025/12/1	2026/7/16	high
298293	openSUSE 16 Security Update : golang-github-prometheus-prometheus (openSUSE-SU-2026:20177-1)	Nessus	SuSE Local Security Checks	2026/2/7	2026/2/18	high
303785	SUSE SLED15: firewalld-prometheus-config / golang-github-prometheus-alertmanager / etc (SUSE-SU-2026:1008-1)	Nessus	SuSE Local Security Checks	2026/3/26	2026/6/26	critical
303779	SUSE SLES15: dracut-saltboot / golang-github-QubitProducts-exporter_exporter / etc (SUSE-SU-2026:1013-1)	Nessus	SuSE Local Security Checks	2026/3/26	2026/6/26	critical

检测

插件搜索

high

high

high

high

high

high

critical

critical

high

high

critical

critical