远程主机上运行的 Tenable Identity Exposure 版本低于 3.77.17。因此根据公告受到多个漏洞的影响 TNS-2026-11

  - Node.js 的权限模型存在缺陷，使攻击者能够利用恶意构建的相对符号链接路径绕过 --allow-fs-read 和 --allow-fs-write 限制。通过串联目录和符号链接，仅拥有当前目录访问权限的脚本可以转义预设路径，从而读取敏感文件。这会破坏预期的隔离保证并启用任意文件读取/写入从而可能导致系统受损。 (CVE-2025-55130)

  - 对 SQL Server 中指定的输入类型的不当验证允许经授权的攻击者通过网络提升权限。 (CVE-2026-26115)

  - Curl 中不当的访问控制允许授权的攻击者通过网络提升权限。
    (CVE-2026-21262)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程主机上运行的 Tenable Identity Exposure 版本低于 3.77.17。因此，根据通 TNS-2026-11告，它受到多重漏洞的影响：

  - Node.js权限模型中的一个缺陷允许攻击者通过精心设计的相对符号链接路径绕过“--allow-fs-read''和'--allow-fs-write''限制。通过串联目录和符号链接，仅拥有当前目录访问权限的脚本可以转义预设路径，从而读取敏感文件。此问题破坏了既定的隔离防护机制，使攻击者能够执行任意文件读取/写入操作，从而造成潜在的系统失陷风险。
    该漏洞影响了 v20、v22、v24 和 v25 权限模型的用户Node.js。（CVE-2025-55130）

  - SQL Server 中不当的访问控制允许授权攻击者通过网络提升权限。
    (CVE-2026-21262)

  - SQL Server 中对特定类型输入的不当验证使授权攻击者能够在网络上提升权限。（CVE-2026-26115）

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - HTTP 请求的不一致解释（“HTTP 请求走私”）在 Erlang OTP（inets httpd 模块）中的漏洞允许 HTTP 请求走私。此漏洞与程序文件 lib/inets/src/http_server/httpd_request.erl 和程序例程 httpd_request：parse_headers/7 相关联。服务器不会拒绝或规范化重复的 Content-Length 标头。请求中最早的 Content-Length 用于正文解析，而常见的反向代理（nginx、Apache httpd、Envoy）则遵从最后一个 Content-Length 值。这违反了 RFC 9112 部分 6.3 ，并允许前端/后端去同步，使攻击者控制的字节排队为下一个请求的开始。此问题会影响来自 OTP 17.0 的 OTP，而不是 OTP 28.4.1、OTP 27.3.4.9 和 OTP26.2.5.18，对应于之前9.6.1的 5.10 和 9.3.2.39.1.0.5中的 inets。（CVE-2026-23941）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

远程 Debian 11 主机上存在安装的程序包，该程序包受到 DLA-4590 公告中提及的多个漏洞的影响。

    - ------------------------------------------------------------------------- Debian LTS 公告 DLA-4590-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Lucas Kanashiro 2026 年 5 月 18 日 https://wiki.debian.org/LTS
    - -------------------------------------------------------------------------

    程序包：erlang 版本： 1:23.2.6+dfsg-1+deb11u4 CVE ID： CVE-2026-21620 CVE-2026-23941 CVE-2026-23942 CVE-2026-23943 Debian 缺陷：1128651 1130912

    在并发、实时、分布式函数语言 Erlang 中发现多个漏洞。

    CVE-2026-21620

        tftp_file 模块中的路径审查不足。

    CVE-2026-23941

        HTTP 请求的不一致解释（“HTTP 请求走私”）在 Erlang OTP（inets httpd 模块）中的漏洞允许 HTTP 请求走私。

    CVE-2026-23942

        未正确限制路径名称至受限目录（“路径遍历”）在 Erlang OTP（ssh_sftpd 模块）中的漏洞允许路径遍历。

    CVE-2026-23943

        Erlang OTP ssh（ssh_transport模块）中的高度压缩数据处理不当（压缩炸弹）漏洞允许通过资源耗尽造成拒绝服务。

    针对 Debian 11 bullseye，这些问题已在版本 .2.6+dfsg-1+deb11u4 中 1:23修复。

    建议您升级 erlang 程序包。

    有关 erlang 的详细安全状态，请参阅其安全跟踪页面：
    https://security-tracker.debian.org/tracker/erlang

    有关 Debian LTS 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://wiki.debian.org/LTS

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
307436	Tenable Identity Exposure < 3.77.17 多个漏洞 (TNS-2026-11)	Nessus	Misc.	2026/4/18	2026/4/20	high
310403	Tenable Identity Exposure < 3.77.17 多个漏洞 (TNS-2026-11)	Nessus	Misc.	2026/4/27	2026/4/28	high
302363	Linux Distros 未修补的漏洞：CVE-2026-23941	Nessus	Misc.	2026/3/15	2026/7/25	high
315240	Debian DLA-4590：erlang - 安全更新	Nessus	Debian Local Security Checks	2026/5/19	2026/5/25	high

检测

插件搜索

high

high

high

high