Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - node-tar用于 Node.js 的 Tar在版本 至包括 7.5.3中存在一个争用条件漏洞。这是因为“path-reservations”系统中未完整处理 Unicode 路径冲突所致。上不区分大小写或不区分规范化的文件系统如 macOS APFS已在 中进行测试库无法锁定冲突的路径如 ` 和 `ss`允许并行处理。
    这会绕过库的内部并发防护措施并允许通过争用条件进行符号链接中毒攻击。该库使用“PathReservations”系统确保序列化同一路径的元数据检查和文件操作。这可防止一个条目可能同时破坏另一个条目的争用情况。这是启用任意文件覆盖的争用条件。此漏洞会影响 macOS (APFS/HFS+) 上使用 node-tar 的用户和系统。由于使用 `NFD` Unicode 规范化其中 和 `ss 不同在忽略 Unicode 规范化的文件系统例如 APFS其中 造成与`ss`))。这使得攻击者能够使用恶意 tar 存档中冲突的文件名避开内部并行化锁PathReservations。 7.5.4 版中的修补程序将 `path-reservations.js` 更新为使用与目标文件系统的行为例如 `NFKD`匹配的规范化形式具体而言后为 `toLocaleLowerCase('en')`再为 `toLocaleUpperCase(' en')`。
    对无法及时升级的用户以及以编程方式使用“node-tar”提取任意 tarball 数据的用户筛选出所有“SymbolicLink”条目如 npm 的变通方案以防止通过此文件系统条目名称进行任意文件写入冲突问题。 (CVE-2026-23950)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

检测

Linux Distros 未修补的漏洞：CVE-2026-23950

medium Nessus 插件 ID 293776

版本 1.10