因此，该软件受到 ALAS2023-2026-1466 公告中提及的多个漏洞影响。

    node-tar 是一个用于 Node.js 的 Tar 。当 reservePaths 为 false默认安全行为时node-tar 库 (<= 7.5.2) 无法审查链接硬链接和 SymbolicLink 条目的链接路径。这可使恶意存档绕过提取根限制从而通过硬链接导致任意文件覆盖通过绝对符号链接目标导致符号链接中毒。此漏洞已在 7.5.3 中修复。
    (CVE-2026-23745)

    node-tar用于 Node.js 的 Tar在版本 至包含一个争用条件漏洞 7.5.3中。这是因为“path-reservations”系统中未完整处理 Unicode 路径冲突所致。在不区分大小写或标准化的文件系统如 macOS APFS中库 已在 中进行测试库无法锁定冲突的路径如 `ss` 和 `ss`从而允许并行处理它们。这会绕过库的内部并发防护措施并允许通过争用条件进行符号链接中毒攻击。该库使用“PathReservations”系统确保序列化同一路径的元数据检查和文件操作。这可防止一个条目可能同时破坏另一个条目的争用情况。这是启用任意文件覆盖的争用条件。此漏洞会影响 macOS (APFS/HFS+) 上使用 node-tar 的用户和系统。由于使用了“NFD” Unicode 规范化其中ss 和 ss 不同在忽略 Unicode 规范化的文件系统例如 APFS其中ss 导致 inode与“ss”发生冲突))。这使得攻击者能够使用恶意 tar 存档中冲突的文件名避开内部并行化锁PathReservations。 7.5.4 版中的修补程序将 `path-reservations.js` 更新为使用与目标文件系统的行为例如 `NFKD`匹配的规范化形式具体而言后为 `toLocaleLowerCase('en')`再为 `toLocaleUpperCase(' en')`。
    对无法及时升级的用户以及以编程方式使用“node-tar”提取任意 tarball 数据的用户筛选出所有“SymbolicLink”条目如 npm 的变通方案以防止通过此文件系统条目名称进行任意文件写入冲突问题。 (CVE-2026-23950)

    Node.js 的 Tarnode-tar 在低于 7.5.7 的版本中包含一个漏洞其中硬链接条目安全检查使用的路径解析语义与实际硬链接创建逻辑不同。
    这种不匹配允许攻击者构建恶意 TAR 存档绕过路径遍历保护并创建指向提取目录外部任意文件的硬链接。版本 7.5.7 包含针对 问题的补丁。 (CVE-2026-24842)

Tenable 已直接从测试产品的安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 RockyLinux 10 主机上存在安装的程序包，该程序包受到 RLSA-2026：18480 公告中提及的多个漏洞的影响。

    * qs：qs：通过数组解析 （CVE-2025-15284） 中不正确的输入验证造成拒绝服务

    * node-tar： tar： node-tar： 通过存档 （CVE-2026-23745） 中未审查的链接路径造成任意文件覆盖和符号链接中毒

    * node-tar： tar： node-tar：通过 Unicode 路径冲突争用条件 （CVE-2026-23950） 进行任意文件覆盖

    * lodash：_.unset 和 _.omit 函数 （CVE-2025-13465） 中的污染原型

    * node-tar： tar： node-tar：通过硬链接安全检查 （CVE-2026-24842） 中的路径遍历创建任意文件

Tenable 已直接从 RockyLinux 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 MiracleLinux 9 主机上存在安装的程序包，该程序包受到 AXSA：2026-1143：03 公告中提及的多个漏洞的影响。

    * qs：qs：通过数组解析 （CVE-2025-15284） 中不正确的输入验证造成拒绝服务
      * node-tar： tar： node-tar： 通过存档 （CVE-2026-23745） 中未审查的链接路径造成任意文件覆盖和符号链接中毒
      * node-tar： tar： node-tar：通过 Unicode 路径冲突争用条件 （CVE-2026-23950） 进行任意文件覆盖
      * lodash：_.unset 和 _.omit 函数中的污染原型 (CVE-2025-13465)
      * node-tar： tar： node-tar：通过硬链接安全检查 （CVE-2026-24842） 中的路径遍历创建任意文件

Tenable 已直接从 MiracleLinux 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Oracle Linux 10 主机上安装的多个程序包受到 ELSA-2026-18480 公告中提及的多个漏洞影响。

    [2.26-7]
    - 修复 pccs npm 安全缺陷

    [2.26-6]
    - 移植到 pycryptography 和 pyasn1，并使 keyring 成为可选

    [2.26-5]
    - 从 Fedora 同步 specfile 更改

    [2.26-4]
    - 从 sgx-pccs 终止 sgx-mpa dep

    [2.26-3]
    - 为 PCCS 添加小脚本

    [2.26-2]
    - 在所有地方启用 pccsadmin

    [2.26-1]
    - 更新到 SGX 2.26 / DCAP 1.23，新增 PCCS 服务

    [2.25-7]
    - 触发 udev 以设置 /dev/sgx_provision 的权限

Tenable 已直接从 Oracle Linux 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 RockyLinux 9 主机上存在安装的程序包，该程序包受到 RLSA-2026：18868 公告中提及的多个漏洞的影响。

    * qs：qs：通过数组解析 （CVE-2025-15284） 中不正确的输入验证造成拒绝服务

    * node-tar： tar： node-tar： 通过存档 （CVE-2026-23745） 中未审查的链接路径造成任意文件覆盖和符号链接中毒

    * node-tar： tar： node-tar：通过 Unicode 路径冲突争用条件 （CVE-2026-23950） 进行任意文件覆盖

    * lodash：_.unset 和 _.omit 函数 （CVE-2025-13465） 中的污染原型

    * node-tar： tar： node-tar：通过硬链接安全检查 （CVE-2026-24842） 中的路径遍历创建任意文件

Tenable 已直接从 RockyLinux 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Redhat Enterprise Linux 10 主机上安装的程序包受到 RHSA-2026:18480 公告中提及的多个漏洞影响。

    英特尔 SGX SDK 是 API、库、文档和工具的集合，允许软件开发人员在 C/C++ 中创建和调试支持英特尔 SGX 的应用程序。

    安全修复：

    * qs：qs：通过数组解析 （CVE-2025-15284） 中不正确的输入验证造成拒绝服务

    * node-tar： tar： node-tar： 通过存档 （CVE-2026-23745） 中未审查的链接路径造成任意文件覆盖和符号链接中毒

    * node-tar： tar： node-tar：通过 Unicode 路径冲突争用条件 （CVE-2026-23950） 进行任意文件覆盖

    * lodash：_.unset 和 _.omit 函数 （CVE-2025-13465） 中的污染原型

    * node-tar： tar： node-tar：通过硬链接安全检查 （CVE-2026-24842） 中的路径遍历创建任意文件

    有关上述安全问题的更多详细信息，包括其影响、CVSS 得分、致谢，以及其他相关信息，请参阅列于“参考”部分的 CVE 页面。

    其他变更：

    如需有关此发行版本的详细变更信息，请参阅可从“参考”部分链接的 Red Hat Enterprise Linux 10 发行说明。

Tenable 已直接从 Red Hat Enterprise Linux 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Redhat Enterprise Linux 9 主机上安装的程序包受到 RHSA-2026:18868 公告中提及的多个漏洞影响。

    英特尔 SGX SDK 是 API、库、文档和工具的集合，允许软件开发人员在 C/C++ 中创建和调试支持英特尔 SGX 的应用程序。

    安全修复：

    * qs：qs：通过数组解析 （CVE-2025-15284） 中不正确的输入验证造成拒绝服务

    * node-tar： tar： node-tar： 通过存档 （CVE-2026-23745） 中未审查的链接路径造成任意文件覆盖和符号链接中毒

    * node-tar： tar： node-tar：通过 Unicode 路径冲突争用条件 （CVE-2026-23950） 进行任意文件覆盖

    * lodash：_.unset 和 _.omit 函数 （CVE-2025-13465） 中的污染原型

    * node-tar： tar： node-tar：通过硬链接安全检查 （CVE-2026-24842） 中的路径遍历创建任意文件

    有关上述安全问题的更多详细信息，包括其影响、CVSS 得分、致谢，以及其他相关信息，请参阅列于“参考”部分的 CVE 页面。

    其他变更：

    如需有关此发行版本的详细变更信息，请参阅可从“参考”部分链接的 Red Hat Enterprise Linux 9 发行说明。

Tenable 已直接从 Red Hat Enterprise Linux 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - Node.js 的 Tarnode-tar 在低于 7.5.7 的版本中包含一个漏洞其中硬链接条目安全检查使用的路径解析语义与实际硬链接创建逻辑不同。
    这种不匹配允许攻击者构建恶意 TAR 存档绕过路径遍历保护并创建指向提取目录外部任意文件的硬链接。版本 7.5.7 包含针对 问题的补丁。 (CVE-2026-24842)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

如 JSDSERVER-16529 公告中所述远程主机上运行的 Atlassian Jira Service Management Data Center 和 Server (Jira Service Desk) 版本受到漏洞的影响。

  - Node.js 的 Tarnode-tar 在低于 7.5.7 的版本中包含一个漏洞其中硬链接条目安全检查使用的路径解析语义与实际硬链接创建逻辑不同。
    这种不匹配允许攻击者构建恶意 TAR 存档绕过路径遍历保护并创建指向提取目录外部任意文件的硬链接。版本 7.5.7 包含针对 问题的补丁。 (CVE-2026-24842)

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Oracle Linux 9 主机上安装的程序包受到 ELSA-2026-18868 公告中提及的多个漏洞影响。

    [2.26-7]
    - 修复 pccs npm 安全缺陷

    [2.26-6]
    - 移植到 pycryptography 和 pyasn1，并使 keyring 成为可选

    [2.26-5]
    - 从 Fedora 同步 specfile 更改

    [2.26-4]
    - 从 sgx-pccs 终止 sgx-mpa dep

    [2.26-3]
    - 为 PCCS 添加小脚本

    [2.26-2]
    - 在所有地方启用 pccsadmin

    [2.26-1]
    - 更新到 SGX 2.26 / DCAP 1.23，新增 PCCS 服务

    [2.25-7]
    - 触发 udev 以设置 /dev/sgx_provision 的权限

    [2.25-6]
    - 临时禁用自动 tier1 门控

    [2.25-5]
    - 针对 SELinux 策略和 sock 权限调整 qgs.service

Tenable 已直接从 Oracle Linux 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程的 Debian 11 主机安装了一个包，受 dla-4552 公告中提及的多个漏洞影响。

    ------------------------------------------------------------------------- Debian LTS 咨询 DLA-4552-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Daniel Leidert 2026年4月29日 https://wiki.debian.org/LTS-------------------------------------------------------------------------

    Package ： node-tar 版本 ： 6.0.5+ds1+~cs11.3.9-1+deb11u3 CVE ID ： CVE-2024-28863 CVE-2026-23745 CVE-2026-24842 CVE-2026-26960 CVE-2026-29786 CVE-2026-31802

    node-tar 是一个用于读写便携式 tar 档案的Node.js模块中发现了多个漏洞。

    CVE-2024-28863

       生成大量子文件夹可能会占用系统内存，甚至在包含过多子文件夹的路径上，几秒钟内导致Node.js客户端崩溃。

    CVE-2026-23745

       当 preservePaths 为假时，Link（硬链接）和 SymbolicLink 条目的链接路径无法净化，导致恶意压缩包绕过提取根限制，导致通过硬链接任意覆盖文件，以及通过绝对符号链接目标进行符号链接中毒。

       该问题的修复引入了以下多个漏洞。

    CVE-2026-24842

       硬链条目的安全检查允许攻击者构建恶意TAR归档，绕过路径穿越保护，创建指向解压目录外任意文件的硬链接。

    CVE-2026-26960

       攻击者控制的归档可以在提取目录内创建指向提取根以外的文件的硬链接，从而允许作为解压用户任意读写文件。

    CVE-2026-29786

       攻击者控制的归档可以通过使用驱动器相对链路目标创建指向提取目录之外的硬链路。

    CVE-2026-31802

       攻击者控制的归档可以通过使用驱动器相对链路目标创建指向提取目录之外的硬链路。


    对于 Debian 11 的 bullseye，这些问题在 +ds1+~cs11.3.9-1+deb11u3 版本中得到了修复 6.0.5。

    我们建议您升级您的node-tar套餐。

    有关node-tar的详细安全状态，请参阅其安全追踪页面：
    https://security-tracker.debian.org/tracker/node-tar

    有关 Debian LTS 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址: https://wiki.debian.org/LTSAttachment:signature.ascDescription: 此消息部分已经过数字签署

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Debian 12 主机上存在安装的程序包，该程序包受到 DLA-4712 公告中提及的多个漏洞的影响。

    ------------------------------------------------------------------------- Debian LTS 公告 DLA-4712-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Daniel Leidert 2026 年 8 月 1 日 https://wiki.debian.org/LTS-------------------------------------------------------------------------

    程序包：node-tar 版本：+ 6.1.13~cs7.0.5-1+deb12u1 CVE ID： CVE-2024-28863 CVE-2026-23745 CVE-2026-26960 CVE-2026-29786

    已在用于读写可移植 tar 存档的Node.js模块 node-tar 中发现多种漏洞。

    CVE-2024-28863

       使用内部包含过多子文件夹的路径，生成大量子文件夹会消耗系统内存，甚至导致 Node.js 客户端在几秒内崩溃。

    CVE-2026-23745

       当 preservePaths 为 false 时，链接（硬链接）和 SymbolicLink 条目的链接路径将无法审查，从而允许恶意存档绕过提取根限制，从而导致通过硬链接进行任意文件覆盖，并通过绝对符号链接目标导致符号链接中毒。

       此问题的补丁引入 CVE-2026-24842 和 CVE-2026-31802。
       两者均已于后续修复。


    CVE-2026-26960

       攻击者控制的存档可在提取目录内创建指向提取根外部文件的硬链接，允许以提取用户身份读取和写入任意文件。

    CVE-2026-29786

       攻击者控制的存档文件可以使用驱动器相关的链接目标，创建指向提取目录外部的硬链接。

    对于 Debian 12 bookworm，这些问题已在 +~cs7.0.5-1+deb12u1 版本 6.1.13中修复。

    建议您升级 node-tar 程序包。

    有关 node-tar 的详细安全状态，请参阅其安全跟踪页面：
    https://security-tracker.debian.org/tracker/node-tar

    有关 Debian LTS 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址: https://wiki.debian.org/LTSAttachment:signature.ascDescription: 此消息部分已经过数字签署

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Redhat Enterprise Linux 7 主机上安装的程序包受到 RHSA-2026:33371 公告中提及的多个漏洞的影响。

    Red Hat JBoss Enterprise Application Platform 7 是基于 WildFly 应用程序运行时的 Java 应用程序平台。此 Red Hat JBoss Enterprise Application Platform 7.3.18 版本用于替换 Red Hat JBoss Enterprise Application Platform 7.3.17，并包含缺陷修复和多项增强。请参阅 Red Hat JBoss Enterprise Application Platform 7.3.18 版本说明以获取有关此版本最重要的缺陷修复和增强功能信息。

    安全修复：

    * jose4j：来自 CVEorg 收集器 (CVE-2024-29371)

    * undertow-core：Undertow HTTP 服务器未能拒绝畸形主机标头，这可能会造成缓存中毒和 SSRF (CVE-2025-12543)

    * org.apache.cxf/cxf-core：Apache CXF：临时文件的拒绝服务漏洞 (CVE-2025-23184)

    * undertow-core：Undertow MadeYouReset HTTP/2 DDoS 漏洞 (CVE-2025-9784)

    有关上述安全问题的更多详细信息，包括其影响、CVSS 得分、致谢，以及其他相关信息，请参阅列于“参考”部分的 CVE 页面。

Tenable 已直接从 Red Hat Enterprise Linux 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
301345	Amazon Linux 2023nodejs24、nodejs24-devel、nodejs24-full-i18n (ALAS2023-2026-1466)	Nessus	Amazon Linux Local Security Checks	2026/3/6	2026/3/6	high
317966	RockyLinux 10：linux-sgx （RLSA-2026：18480）	Nessus	Rocky Linux Local Security Checks	2026/5/29	2026/5/29	high
325184	MiracleLinux 9：linux-sgx-2.26-7.el9 （AXSA：2026-1143：03）	Nessus	Miracle Linux Local Security Checks	2026/7/6	2026/7/6	high
327008	Oracle Linux 10：linux-sgx （ELSA-2026-18480）	Nessus	Oracle Linux Local Security Checks	2026/7/15	2026/7/15	high
317439	RockyLinux 9：linux-sgx （RLSA-2026：18868）	Nessus	Rocky Linux Local Security Checks	2026/5/28	2026/5/28	high
315307	RHEL 10：linux-sgx （RHSA-2026:18480）	Nessus	Red Hat Local Security Checks	2026/5/19	2026/5/19	high
315374	RHEL 9：linux-sgx （RHSA-2026:18868）	Nessus	Red Hat Local Security Checks	2026/5/19	2026/5/19	high
297040	Linux Distros 未修补的漏洞：CVE-2026-24842	Nessus	Misc.	2026/1/28	2026/7/19	high
305912	Atlassian Jira Service Management Data Center 和 Server 5.15.2 < 10.3.18 / 10.4.x < 11.3.3 (JSDSERVER-16529)	Nessus	Misc.	2026/4/10	2026/4/10	high
322200	Oracle Linux 9：linux-sgx （ELSA-2026-18868）	Nessus	Oracle Linux Local Security Checks	2026/6/23	2026/6/23	high
310898	Debian dla-4552 ： node-tar - 安全更新	Nessus	Debian Local Security Checks	2026/4/29	2026/4/29	high
331606	Debian DLA-4712：node-tar - 安全更新	Nessus	Debian Local Security Checks	2026/8/2	2026/8/2	high
323872	RHEL 7：Red Hat JBoss Enterprise Application Platform 7.3.18 (RHSA-2026:33371)	Nessus	Red Hat Local Security Checks	2026/6/30	2026/6/30	high

检测

插件搜索

high

high

high

high

high

high

high

high

high

high

high

high

high