遠端 Ubuntu 20.04 LTS/22.04 LTS/24.04 LTS 主機上安裝的一個套件受到 USN-8194-1 公告中所提及的多個弱點影響。

    據發現當啟用屬性延伸模組時league/commonmark 未正確限制不安全的屬性。攻擊者可能利用此問題透過將惡意程式碼插入轉譯的 HTML 來造成跨網站指令碼。此問題僅影響 Ubuntu 22.04 LTS 和 Ubuntu 24.04 LTS。(CVE-2025-46734)

    據發現league/commonmark 在某些情況下未正確封鎖某些不允許的 HTML 標籤。攻擊者可能利用此問題透過插入繞過篩選的惡意 HTML 來造成跨網站指令碼。 (CVE-2026-30838)

    據發現league/commonmark 未正確強制內嵌延伸模組中的網域允許清單檢查。攻擊者可能利用此問題繞過網域限制並將不受信任的內容視為允許。這個問題只會影響 Ubuntu 24.04 LTS。(CVE-2026-33347)

Tenable 已直接從 Ubuntu 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且廠商未提供可用的修補程式。

  - League/commonmark 是 PHP Markdown 剖析器。在 2.3.0 版到 2.8.2之前的版本中Embed 延伸模組中的 DomainFilteringAdapter 容易受到允許清單繞過影響這是因為網域相符 regex 中缺少主機名稱邊界宣告所致。當 youthbe.com 是允許的網域時攻擊者控制的網域 (如 YouTube.com.evil) 會通過允許清單檢查。此問題已在 2.8.2 版中修正。(CVE-2026-33347)

請注意，Nessus 依賴供應商報告的套件存在。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  -league/commonmark 是 PHP Markdown 解析器。从版本 2.3.0 到低于 2.8.2的版本Embed 扩展中的 DomainFilteringAdapter 容易绕过允许列表这是因为域匹配的 regex 中缺少主机名边界断言所致。当 youtube.com 是允许的域时像 youtube.com.evil 一样受攻击者控制的域会通过允许列表检查。已在版本 2.8.2 中修补此问题。(CVE-2026-33347)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

远程 Ubuntu 20.04 LTS / 22.04 LTS / 24.04 LTS 主机上安装的一个程序包受到 USN-8194-1 公告中提及的多个漏洞的影响。

    发现联盟/commonmark 在启用属性扩展时未正确限制不安全属性。攻击者可能利用此问题通过向呈现的 HTML 中注入恶意代码来造成跨站脚本。此问题仅影响 Ubuntu 22.04 LTS 和 Ubuntu 24.04 LTS。(CVE-2025-46734)

    发现league/commonmark 在某些情况下未能正确阻断某些不允许的 HTML 标记。攻击者可能利用此问题通过插入绕过过滤的恶意 HTML 而造成跨站脚本。 (CVE-2026-30838)

    联盟/commonmark 中发现未在 Embed 扩展中正确强制执行域白名单检查。攻击者可能利用此问题绕过域限制并导致不受信任的内容被视为允许。此问题仅影响 Ubuntu 24.04 LTS。(CVE-2026-33347)

Tenable 已直接从 Ubuntu 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  -league/commonmark は PHP Markdown パーサーです。バージョン 2.3.0 からバージョン 2.8.2より前の では、Embed 拡張の DomainFilteringAdapter が、ドメインマッチング正規表現のホスト名境界アサーションがないために、許可リストのバイパスに対して脆弱です。攻撃者が制御するドメインでの攻撃者がコントロールする「update.com.evil」などは、auve.com が許可されたドメインである場合、許可リストチェックを通過します。この問題には、バージョン 2.8.2 でパッチが適用されています。(CVE-2026-33347)

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

リモートの Ubuntu 20.04LTS/22.04 LTS/24.04 LTS ホストには、USN-8194-1 アドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    属性拡張が有効な場合、lighttpd で安全でない属性が適切に制限されないことが判明しました。攻撃者がこの問題を利用して、レンダリングされた HTML に悪意あるコードを注入することで、クロスサイトスクリプティングを引き起こす可能性があります。この問題の影響を受けるのは、Ubuntu 22.04 LTS と Ubuntu 24.04 LTS のみです。(CVE-2025-46734)

    league/commonmark が特定の許可されていない HTML タグを適切にブロックしていない場合があることが発見されました。攻撃者がこの問題を利用して、フィルタリングをバイパスする悪意のある HTML を挿入することで、クロスサイトスクリプティングを引き起こす可能性があります。CVE-2026-30838

    league/commonmark が Embed 拡張でドメイン許可リストチェックを適切に実施していないことが判明しました。攻撃者がこの問題を利用して、ドメイン制限をバイパスし、信頼できないコンテンツを許可として処理する可能性があります。この問題の影響を受けるのは、Ubuntu 24.04 LTS のみです。(CVE-2026-33347)

Tenable は、前述の説明ブロックを Ubuntu セキュリティアドバイザリからすでに直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

The Linux/Unix host has one or more packages installed that are impacted by a vulnerability without a vendor supplied patch available.

  - league/commonmark is a PHP Markdown parser. From version 2.3.0 to before version 2.8.2, the     DomainFilteringAdapter in the Embed extension is vulnerable to an allowlist bypass due to a missing     hostname boundary assertion in the domain-matching regex. An attacker-controlled domain like     youtube.com.evil passes the allowlist check when youtube.com is an allowed domain. This issue has been     patched in version 2.8.2. (CVE-2026-33347)

Note that Nessus relies on the presence of the package as reported by the vendor.

The remote Ubuntu 20.04 LTS / 22.04 LTS / 24.04 LTS host has a package installed that is affected by multiple vulnerabilities as referenced in the USN-8194-1 advisory.

    It was discovered that league/commonmark did not properly restrict unsafe attributes when the Attributes     extension was enabled. An attacker could possibly use this issue to cause cross-site scripting by     injecting malicious code into rendered HTML. This issue only affected Ubuntu 22.04 LTS and Ubuntu 24.04     LTS. (CVE-2025-46734)

    It was discovered that league/commonmark did not properly block certain disallowed HTML tags in some     cases. An attacker could possibly use this issue to cause cross-site scripting by inserting malicious HTML     that bypassed filtering. (CVE-2026-30838)

    It was discovered that league/commonmark did not properly enforce domain allowlist checks in the Embed     extension. An attacker could possibly use this issue to bypass domain restrictions and cause untrusted     content to be treated as allowed. This issue only affected Ubuntu 24.04 LTS. (CVE-2026-33347)

Tenable has extracted the preceding description block directly from the Ubuntu security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
309186	Ubuntu 20.04 LTS / 22.04 LTS / 24.04 LTSleague/commonmark 弱點 (USN-8194-1)	Nessus	Ubuntu Local Security Checks	2026/4/22	2026/4/22	medium
303380	Linux Distros 未修補的弱點：CVE-2026-33347	Nessus	Misc.	2026/3/23	2026/4/29	medium
303380	Linux Distros 未修补的漏洞：CVE-2026-33347	Nessus	Misc.	2026/3/23	2026/4/29	medium
309186	Ubuntu 20.04 LTS / 22.04 LTS / 24.04 LTSleague/commonmark 漏洞 (USN-8194-1)	Nessus	Ubuntu Local Security Checks	2026/4/22	2026/4/22	medium
303380	Linux Distros のパッチ未適用の脆弱性: CVE-2026-33347	Nessus	Misc.	2026/3/23	2026/4/29	medium
309186	Ubuntu 20.04 LTS/ 22.04 LTS/ 24.04 LTSleaf/commonmark の脆弱性USN-8194-1	Nessus	Ubuntu Local Security Checks	2026/4/22	2026/4/22	medium
303380	Linux Distros Unpatched Vulnerability : CVE-2026-33347	Nessus	Misc.	2026/3/23	2026/4/29	medium
309186	Ubuntu 20.04 LTS / 22.04 LTS / 24.04 LTS : league/commonmark vulnerabilities (USN-8194-1)	Nessus	Ubuntu Local Security Checks	2026/4/22	2026/4/22	medium

检测

插件搜索

medium

medium

medium

medium

medium

medium

medium

medium