There are packages installed that are affected by a vulnerability referenced in the following CVE:

  - Impact: fast-uri versions from 2.3.1 through 4.1.0 (including the 3.x line up to 3.1.3 and the 2.x line up
    to 2.4.2) do not treat a literal backslash character (U+005C) as an authority delimiter. Node's native
    WHATWG URL parser, used by fetch, undici, and Node's http and https clients, normalizes the backslash to a
    forward slash for special schemes such as http, https, ws, wss, ftp, and file. As a result, the two
    parsers extract different hosts from the same input string. Applications that use fast-uri to enforce
    host-based policy such as allowlists, denylists, loopback or SSRF filtering, redirect validation, or
    outbound proxy routing before passing the same URL into Node's URL or fetch consumers can be steered to an
    unintended destination, including cloud metadata endpoints, loopback, or internal hosts. Patches: upgrade
    to fast-uri 4.1.1, 3.1.4, or 2.4.3. Workarounds: none. (CVE-2026-16221)

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且廠商未提供可用的修補程式。

  - 影響：從 到 的4.1.0快速 URI 版本 2.3.1 （包括 3.x 行到 3.1.32.x 和 行到 2.4.2） 不會將文字反斜線字元 （U+005C） 視為權限分隔符號。Node 的原生 WHATWG URL 剖析器（由 fetch、undici 以及 Node 的 http 和 https 用戶端使用）將特殊方案（例如 http、https、ws、wss、ftp 和 file）的反斜線正規化為正斜線。因此，兩個剖析器會從相同的輸入字串中擷取不同的主機。在將相同的 URL 傳遞至 Node 的 URL 或擷取消費者之前，使用快速 URI 強制執行基於主機的策略 （例如允許清單、拒絕清單、回送或 SSRF 篩選、重新導向驗證或出站 Proxy 路由）的應用程式可能會被引導至非預期的目的地，包括雲端中繼資料端點、回送或內部主機。修補程式：升級至 fast-uri 4.1.1、 3.1.4或 2.4.3。因應措施：無。（CVE-2026-16221）

請注意，Nessus 的判定取決於廠商所報告的套件是否存在。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - 影响：从 through 的 4.1.0 fast-uri 版本（包括 3.x line up to 3.1.3 和 2.x line up 2.4.2to ）不2.3.1将文本反斜线字符 （U+005C） 视为颁发机构分隔符。Node 的本机 WHATWG URL 解析器（供 fetch、undici 以及 Node 的 http 和 https 客户端使用）将特殊方案（例如 http、https、ws、wss、ftp 和 file）规范化为正斜线。结果，两个解析器从同一个输入字符串提取不同的主机。在将相同的 URL 传递到 Node 的 URL 或获取消费者之前，使用快速 URI 执行基于主机的策略（例如允许列表、拒绝列表、环回或 SSRF 过滤、重定向验证或出站代理路由）的应用程序可能会被引导至非预期的目的地，包括云元数据端点、环回或内部主机。修补程序：升级到 fast-uri 4.1.1、 3.1.4或 2.4.3。变通方案：无。（CVE-2026-16221）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - 影響:2.3.1 から 4.1.0 までの fast-uri バージョン(3.1.3 までの 3.x 行と 2.4.2 までの 2.x 行を含む)は、リテラルバックスラッシュ文字(U+005C)を権限区切り記号として扱いません。fetch、undici、Node の http および https クライアントで使用される、Node のネイティブ WHATWG URL パーサーは、http、https、ws、wss、ftp、file などの特殊なスキームに対してバックスラッシュをフォワードスラッシュに正規化します。結果として、2 つのパーサーは同じ入力文字列から異なるホストを抽出します。同じURLをノードのURLに渡したり、コンシューマーをフェッチしたりする前に、許可リスト、拒否リスト、ループバックまたはSSRFフィルタリング、リダイレクト検証、アウトバウンドプロキシルーティングなどのホストベースのポリシーを実施するためにfast-uriを使用するアプリケーションは、クラウドメタデータエンドポイント、ループバック、内部ホストなどの意図しない宛先に誘導される可能性があります。パッチ:fast-uri 4.1.1、 3.1.4、または 2.4.3 にアップグレードしてください。回避策:なし。(CVE-2026-16221)

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

The Linux/Unix host has one or more packages installed that are impacted by a vulnerability without a vendor supplied patch available.

  - Impact: fast-uri versions from 2.3.1 through 4.1.0 (including the 3.x line up to 3.1.3 and the 2.x line up     to 2.4.2) do not treat a literal backslash character (U+005C) as an authority delimiter. Node's native     WHATWG URL parser, used by fetch, undici, and Node's http and https clients, normalizes the backslash to a     forward slash for special schemes such as http, https, ws, wss, ftp, and file. As a result, the two     parsers extract different hosts from the same input string. Applications that use fast-uri to enforce     host-based policy such as allowlists, denylists, loopback or SSRF filtering, redirect validation, or     outbound proxy routing before passing the same URL into Node's URL or fetch consumers can be steered to an     unintended destination, including cloud metadata endpoints, loopback, or internal hosts. Patches: upgrade     to fast-uri 4.1.1, 3.1.4, or 2.4.3. Workarounds: none. (CVE-2026-16221)

Note that Nessus relies on the presence of the package as reported by the vendor.

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
445032	SCA: security update for fast-uri (GHSA-v2hh-gcrm-f6hx)	Tenable Cloud Security	SCA Checks	2026/7/22	2026/7/22	high
445032	SCA: security update for fast-uri (GHSA-v2hh-gcrm-f6hx)	Tenable Self-Hosted Container Security	SCA Checks	2026/7/22	2026/7/22	high
328008	Linux Distros 未修補弱點：CVE-2026-16221	Nessus	Misc.	2026/7/20	2026/7/25	high
328008	Linux Distros 未修补的漏洞：CVE-2026-16221	Nessus	Misc.	2026/7/20	2026/7/25	high
328008	Linux Distros のパッチ未適用の脆弱性: CVE-2026-16221	Nessus	Misc.	2026/7/20	2026/7/25	high
328008	Linux Distros Unpatched Vulnerability : CVE-2026-16221	Nessus	Misc.	2026/7/20	2026/7/25	high

检测

插件搜索

high

high

high

high

high

high