There are packages installed that are affected by a vulnerability referenced in the following CVE:

  - Glances is an open-source system cross-platform monitoring tool. Prior to version 4.5.4, a Server-Side
    Request Forgery (SSRF) vulnerability exists in the Glances IP plugin due to improper validation of the
    public_api configuration parameter. The value of public_api is used directly in outbound HTTP requests
    without any scheme restriction or hostname/IP validation. An attacker who can modify the Glances
    configuration can force the application to send requests to arbitrary internal or external endpoints.
    Additionally, when public_username and public_password are set, Glances automatically includes these
    credentials in the Authorization: Basic header, resulting in credential leakage to attacker-controlled
    servers. This vulnerability can be exploited to access internal network services, retrieve sensitive data
    from cloud metadata endpoints, and/or exfiltrate credentials via outbound HTTP requests. The issue arises
    because public_api is passed directly to the HTTP client (urlopen_auth) without validation, allowing
    unrestricted outbound connections and unintended disclosure of sensitive information. Version 4.5.4
    contains a patch. (CVE-2026-35587)

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且供應商未提供可用的修補程式。

  - Glances 是一款開放原始碼系統跨平台監控工具。在版本之前 4.5.4，Glances IP 外掛程式中存在伺服器端要求偽造 （SSRF） 弱點，這是因為 public_api 組態參數的驗證不當所致。public_api 的值會直接用於傳出HTTP要求，沒有任何配置限制或主機名稱/IP 驗證。可修改 Glances 設定的攻擊者可強制應用程式將要求傳送至任意內部或外部端點。
    此外，設定public_username和public_password時，Glances 會自動將這些憑證包含在 Authorization： Basic 標頭中，從而導致憑證洩露給攻擊者控制的伺服器。此弱點可用於存取內部網路服務、從雲端中繼資料端點擷取敏感資料，和/或透過傳出 HTTP 要求竊取憑證。出現此問題的原因是public_api未經驗證而直接傳遞給HTTP用戶端 （urlopen_auth），從而允許不受限制的出站連接和意外洩露敏感資訊。版本包含 4.5.4 修補程式。（CVE-2026-35587）

請注意，Nessus 的判定取決於廠商所報告的套件是否存在。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - Glances 是一款开源系统跨平台监控工具。在低于版本之前 4.5.4的版本中，Glances IP 插件中存在一个服务器端请求伪造 （SSRF） 漏洞，这是因为不当验证 public_api 配置参数所导致。public_api 的值直接用于出站 HTTP 请求，无需任何方案限制或主机名/IP 验证。能够修改 Glances 配置的攻击者可强制应用程序将请求发送到任意内部或外部端点。
    此外，设置public_username和public_password后，Glances 会自动将这些凭据包括在 Authorization： Basic 标头中，从而导致向攻击者控制的服务器泄露凭据。此漏洞可被利用于通过出站 HTTP 请求访问内部网络服务、从云元数据端点检索敏感数据和/或泄露凭据。产生该问题的原因是public_api未经验证就直接传递到 HTTP 客户端 （urlopen_auth），从而允许不受限制的出站连接和意外泄露敏感信息。版本 4.5.4 包含修补程序。（CVE-2026-35587）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - Glances は、オープンソースのクロスプラットフォーム監視ツールです。バージョン 4.5.4 より前では、public_api 構成パラメーターの検証が不適切なために、Glances IP プラグインにサーバーサイドリクエスト偽造(SSRF)の脆弱性が存在します。public_api の値は、スキームの制限やホスト名/IP の検証なしで、送信HTTPリクエストで直接使用されます。Glances の構成を変更できる攻撃者が、アプリケーションに任意の内部または外部エンドポイントへのリクエスト送信を強制する可能性があります。
    さらに、public_usernameとpublic_passwordが設定されている場合、Glances はこれらの認証情報を Authorization: Basic ヘッダーに自動的に含めます。これにより、攻撃者が制御するサーバーに認証情報が漏洩します。この脆弱性が悪用されて、内部ネットワークサービスへのアクセス、クラウドメタデータエンドポイントからの機密データの取得、送信HTTPリクエストによる認証情報の流出などが発生する可能性があります。この問題が発生する原因は、public_apiが検証なしでHTTPクライアント(urlopen_auth)に直接渡され、無制限のアウトバウンド接続と意図しない機密情報の漏洩が発生する可能性があります。バージョン 4.5.4 にはパッチが含まれています。(CVE-2026-35587)

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

The Linux/Unix host has one or more packages installed that are impacted by a vulnerability without a vendor supplied patch available.

  - Glances is an open-source system cross-platform monitoring tool. Prior to version 4.5.4, a Server-Side     Request Forgery (SSRF) vulnerability exists in the Glances IP plugin due to improper validation of the     public_api configuration parameter. The value of public_api is used directly in outbound HTTP requests     without any scheme restriction or hostname/IP validation. An attacker who can modify the Glances     configuration can force the application to send requests to arbitrary internal or external endpoints.
    Additionally, when public_username and public_password are set, Glances automatically includes these     credentials in the Authorization: Basic header, resulting in credential leakage to attacker-controlled     servers. This vulnerability can be exploited to access internal network services, retrieve sensitive data     from cloud metadata endpoints, and/or exfiltrate credentials via outbound HTTP requests. The issue arises     because public_api is passed directly to the HTTP client (urlopen_auth) without validation, allowing     unrestricted outbound connections and unintended disclosure of sensitive information. Version 4.5.4     contains a patch. (CVE-2026-35587)

Note that Nessus relies on the presence of the package as reported by the vendor.

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
440708	SCA: security update for glances (GHSA-g5pq-48mj-jvw8)	Tenable Cloud Security	SCA Checks	2026/4/21	2026/7/2	high
440708	SCA: security update for glances (GHSA-g5pq-48mj-jvw8)	Tenable Self-Hosted Container Security	SCA Checks	2026/4/21	2026/7/2	high
309692	Linux Distros 未修補的弱點：CVE-2026-35587	Nessus	Misc.	2026/4/22	2026/8/9	high
309692	Linux Distros 未修补的漏洞：CVE-2026-35587	Nessus	Misc.	2026/4/22	2026/8/9	high
309692	Linux Distros のパッチ未適用の脆弱性: CVE-2026-35587	Nessus	Misc.	2026/4/22	2026/8/9	high
309692	Linux Distros Unpatched Vulnerability : CVE-2026-35587	Nessus	Misc.	2026/4/22	2026/8/9	high

检测

插件搜索

high

high

high

high

high

high