因此，该软件受到 ALAS2023-2026-1484 公告中提及的多个漏洞影响。

    在 juligruber 大括号扩展至 1.1.11/2.0.1/3.0.0/4.0.0中发现一个漏洞。已将此漏洞评定为“有问题”。受此问题影响的是 index.js 文件的 function expand。操控会导致正则表达式复杂性低下。攻击者可远程执行攻击。攻击的复杂度相当高。已知很难实现此漏洞利用。该漏洞已被公开并可被使用。升级到版本 1.1.12、 2.0.2、 3.0.1 和 4.0.1 可解决此问题。
    修补程序的名称为 a5b98a4f30d7813266b221435e1eaaf25a1b0ac5。建议升级受影响的组件。(CVE-2025-5889)

    node-tar 是一个适用于 Node.js 的全功能 Tar。在版本 7.5.7 和更低版本中使用默认选项时攻击者控制的存档可在指向提取根外部文件的提取目录内创建硬链接从而以提取用户的身份实现任意文件的读取和写入。严重性为“高危”因为原语绕过路径保护并将存档提取转换为直接文件系统访问原语。此问题已在 7.5.8 版本中修复。(CVE-2026-26960)

    node-tar 是一个适用于 Node.js 的全功能 Tar。低于版本 7.5.10的情况下可诱骗 tar 创建通过使用 C:../target.txt 等驱动器相关链接目标指向提取目录外部的硬链接这可在正常 tar.x 期间在 cwd 之外覆盖文件。 () 提取。已在版本 7.5.10 中修补此问题。(CVE-2026-29786)

Tenable 已直接从测试产品的安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

因此，會受到 ALAS2023-2026-1484 公告中所提及的多個弱點影響。

    在 1.1.11/2.0.1/3.0.0/4.0.0之前的 juriangruber 大括號擴充中發現一個弱點。目前已將其歸類為「有問題」。受此問題影響的是 index.js 檔案的函式展開。操控導致規則運算式複雜度低效。攻擊者可在遠端執行此攻擊。此攻擊的複雜度很高。已知此惡意利用很困難。攻擊程式已向公眾披露且可能會遭到利用。升級至 1.1.12、 2.0.2、 3.0.1 和 4.0.1 版即可解決此問題。
    修補程式的名稱是 a5b98a4f30d7813266b221435e1eaaf25a1b0ac5。建議升級受影響的元件。(CVE-2025-5889)

    node-tar 是適用於 Node.js 的全功能 Tar。在 7.5.7 版和更舊版本中使用預設選項時受攻擊者控制的封存可在指向擷取 root 外部檔案的擷取目錄內建立固定連結進而以擷取使用者的身分讀取和寫入任意檔案。基元繞過路徑保護並將封存擷取變成直接檔案系統存取基元因而導致高嚴重性。7.5.8 版已修正此問題。(CVE-2026-26960)

    node-tar 是適用於 Node.js 的全功能 Tar。在 7.5.10版之前使用 C:../target.txt 等磁碟機相關連結目標可誘騙 tar 建立指向擷取目錄之外的固定連結這會在正常 tar.x 期間啟用 cwd 之外的檔案覆寫() 擷取。此問題已在 7.5.10 版中修正。(CVE-2026-29786)

Tenable 已直接從所測試產品的安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

因此，會受到 ALAS2023-2026-1483 公告中所提及的多個弱點影響。

    node-tar 是適用於 Node.js 的全功能 Tar。在 7.5.7 版和更舊版本中使用預設選項時受攻擊者控制的封存可在指向擷取 root 外部檔案的擷取目錄內建立固定連結進而以擷取使用者的身分讀取和寫入任意檔案。基元繞過路徑保護並將封存擷取變成直接檔案系統存取基元因而導致高嚴重性。7.5.8 版已修正此問題。(CVE-2026-26960)

    node-tar 是適用於 Node.js 的全功能 Tar。在 7.5.10版之前使用 C:../target.txt 等磁碟機相關連結目標可誘騙 tar 建立指向擷取目錄之外的固定連結這會在正常 tar.x 期間啟用 cwd 之外的檔案覆寫() 擷取。此問題已在 7.5.10 版中修正。(CVE-2026-29786)

Tenable 已直接從所測試產品的安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

因此，该软件受到 ALAS2023-2026-1483 公告中提及的多个漏洞影响。

    node-tar 是一个适用于 Node.js 的全功能 Tar。在版本 7.5.7 和更低版本中使用默认选项时攻击者控制的存档可在指向提取根外部文件的提取目录内创建硬链接从而以提取用户的身份实现任意文件的读取和写入。严重性为“高危”因为原语绕过路径保护并将存档提取转换为直接文件系统访问原语。此问题已在 7.5.8 版本中修复。(CVE-2026-26960)

    node-tar 是一个适用于 Node.js 的全功能 Tar。低于版本 7.5.10的情况下可诱骗 tar 创建通过使用 C:../target.txt 等驱动器相关链接目标指向提取目录外部的硬链接这可在正常 tar.x 期间在 cwd 之外覆盖文件。 () 提取。已在版本 7.5.10 中修补此问题。(CVE-2026-29786)

Tenable 已直接从测试产品的安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且供應商未提供可用的修補程式。

  - node-tar 是適用於 Node.js 的全功能 Tar。在 7.5.10版之前使用 C:../target.txt 等磁碟機相關連結目標可誘騙 tar 建立指向擷取目錄之外的固定連結這會在正常 tar.x 期間啟用 cwd 之外的檔案覆寫() 擷取。此問題已在 7.5.10 版中修正。(CVE-2026-29786)

請注意，Nessus 依賴供應商報告的套件存在。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - node-tar 是一个适用于 Node.js 的全功能 Tar。低于版本 7.5.10的情况下可诱骗 tar 创建通过使用 C:../target.txt 等驱动器相关链接目标指向提取目录外部的硬链接这可在正常 tar.x 期间在 cwd 之外覆盖文件。 () 提取。已在版本 7.5.10 中修补此问题。(CVE-2026-29786)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

したがって、ALAS2023-2026-1483 のアドバイザリに記載されている複数の脆弱性の影響を受けます。

    node-tar は Node.js 用のフル機能の Tar です。バージョン 7.5.7 およびそれ以前でデフォルトオプションを使用する場合、攻撃者が制御するアーカイブが、抽出ルートの外部のファイルを指す抽出ディレクトリ内部にハードリンクを作成する可能性があります。これにより、抽出ユーザーとして任意のファイルの読み書きが可能になります。プリミティブがパス保護をバイパスし、アーカイブ抽出を直接ファイルシステムアクセスプリミティブに変えるため、重要度は高です。この問題はバージョン 7.5.8で修正されています。(CVE-2026-26960)

    node-tar は Node.js 用のフル機能の Tar です。バージョン 7.5.10より前では、C:../target.txt などのドライブ関連のリンクターゲットを使用することで、tar が騙されて、抽出ディレクトリの外部を指し示すハードリンクを作成する可能性があります。これにより、通常の tar.x 中に cwd 外でファイルの上書きが可能になります抽出に関連するベクトルを通じて、可用性に影響を与えることが可能です。この問題には、バージョン 7.5.10 でパッチが適用されています。(CVE-2026-29786)

Tenable は、前述の記述ブロックをテスト済み製品のセキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

したがって、ALAS2023-2026-1484 のアドバイザリに記載されている複数の脆弱性の影響を受けます。

     1.1.11/2.0.1/3.0.0/4.0.0までの juliangruber brace-expansion に脆弱性が見つかりました。問題があると分類されました。ファイル index.js の関数 expand はこの問題の影響を受けます。この操作により、正規表現が非効率的に複雑になります。攻撃がリモートで起動される可能性があります。攻撃の複雑性はかなり高いものです。この脆弱性の悪用は困難であることが知られています。このエクスプロイトは一般に公開されており、使用される可能性があります。バージョン 1.1.12、 2.0.2、 3.0.1 、 4.0.1 にアップグレードすると、この問題に対処できます。
    パッチの名前は、a5b98a4f30d7813266b221435e1eaaf25a1b0ac5 です。影響を受けるコンポーネントをアップグレードすることが推奨されます。(CVE-2025-5889)

    node-tar は Node.js 用のフル機能の Tar です。バージョン 7.5.7 およびそれ以前でデフォルトオプションを使用する場合、攻撃者が制御するアーカイブが、抽出ルートの外部のファイルを指す抽出ディレクトリ内部にハードリンクを作成する可能性があります。これにより、抽出ユーザーとして任意のファイルの読み書きが可能になります。プリミティブがパス保護をバイパスし、アーカイブ抽出を直接ファイルシステムアクセスプリミティブに変えるため、重要度は高です。この問題はバージョン 7.5.8で修正されています。(CVE-2026-26960)

    node-tar は Node.js 用のフル機能の Tar です。バージョン 7.5.10より前では、C:../target.txt などのドライブ関連のリンクターゲットを使用することで、tar が騙されて、抽出ディレクトリの外部を指し示すハードリンクを作成する可能性があります。これにより、通常の tar.x 中に cwd 外でファイルの上書きが可能になります抽出に関連するベクトルを通じて、可用性に影響を与えることが可能です。この問題には、バージョン 7.5.10 でパッチが適用されています。(CVE-2026-29786)

Tenable は、前述の記述ブロックをテスト済み製品のセキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - node-tar は Node.js 用のフル機能の Tar です。バージョン 7.5.10より前では、C:../target.txt などのドライブ関連のリンクターゲットを使用することで、tar が騙されて、抽出ディレクトリの外部を指し示すハードリンクを作成する可能性があります。これにより、通常の tar.x 中に cwd 外でファイルの上書きが可能になります抽出に関連するベクトルを通じて、可用性に影響を与えることが可能です。この問題には、バージョン 7.5.10 でパッチが適用されています。(CVE-2026-29786)

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

The remote Debian 11 host has a package installed that is affected by multiple vulnerabilities as referenced in the dla-4552 advisory.

    -------------------------------------------------------------------------     Debian LTS Advisory DLA-4552-1                debian-lts@lists.debian.org     https://www.debian.org/lts/security/                       Daniel Leidert     April 29, 2026                                https://wiki.debian.org/LTS
    -------------------------------------------------------------------------

    Package        : node-tar     Version        : 6.0.5+ds1+~cs11.3.9-1+deb11u3     CVE ID         : CVE-2024-28863 CVE-2026-23745 CVE-2026-24842 CVE-2026-26960                      CVE-2026-29786 CVE-2026-31802

    Multiple vulnerabilities have been discovered in node-tar, a Node.js     module to read and write portable tar archives.

    CVE-2024-28863

       Generating a large number of sub-folders can consume memory on the        system and even crash the Node.js client within a few seconds using        a path with too many sub-folders inside.

    CVE-2026-23745

       When preservePaths is false, the linkpath of Link (hardlink) and        SymbolicLink entries fail to be sanitized, allowing malicious        archives to bypass the extraction root restriction, leading to        arbitrary file overwrites via hardlinks and symlink poisoning via        absolute symlink targets.

       The fix for this issue introduces multiple of the following        vulnerabilties.

    CVE-2026-24842

       The security check for hardlink entries allows an attacker to craft        a malicious TAR archive that bypasses path traversal protections and        creates hardlinks to arbitrary files outside the extraction        directory.

    CVE-2026-26960

       An attacker-controlled archive can create a hardlink inside the        extraction directory that points to a file outside the extraction        root, enabling arbitrary file read and write as the extracting user.

    CVE-2026-29786

       An attacker-controlled archive can create a hardlink that points        outside the extraction directory by using a drive-relative link        target.

    CVE-2026-31802

       An attacker-controlled archive can create a hardlink that points        outside the extraction directory by using a drive-relative link        target.


    For Debian 11 bullseye, these problems have been fixed in version     6.0.5+ds1+~cs11.3.9-1+deb11u3.

    We recommend that you upgrade your node-tar packages.

    For the detailed security status of node-tar please refer to     its security tracker page at:
    https://security-tracker.debian.org/tracker/node-tar

    Further information about Debian LTS security advisories, how to apply     these updates to your system and frequently asked questions can be     found at: https://wiki.debian.org/LTS     Attachment:
    signature.asc     Description: This is a digitally signed message part

Tenable has extracted the preceding description block directly from the Debian security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

The Linux/Unix host has one or more packages installed that are impacted by a vulnerability without a vendor supplied patch available.

  - node-tar is a full-featured Tar for Node.js. Prior to version 7.5.10, tar can be tricked into creating a     hardlink that points outside the extraction directory by using a drive-relative link target such as     C:../target.txt, which enables file overwrite outside cwd during normal tar.x() extraction. This issue has     been patched in version 7.5.10. (CVE-2026-29786)

Note that Nessus relies on the presence of the package as reported by the vendor.

It is, therefore, affected by multiple vulnerabilities as referenced in the ALAS2023-2026-1484 advisory.

    A vulnerability was found in juliangruber brace-expansion up to 1.1.11/2.0.1/3.0.0/4.0.0. It has been     rated as problematic. Affected by this issue is the function expand of the file index.js. The manipulation     leads to inefficient regular expression complexity. The attack may be launched remotely. The complexity of     an attack is rather high. The exploitation is known to be difficult. The exploit has been disclosed to the     public and may be used. Upgrading to version 1.1.12, 2.0.2, 3.0.1 and 4.0.1 is able to address this issue.
    The name of the patch is a5b98a4f30d7813266b221435e1eaaf25a1b0ac5. It is recommended to upgrade the     affected component. (CVE-2025-5889)

    node-tar is a full-featured Tar for Node.js. When using default options in versions 7.5.7 and below, an     attacker-controlled archive can create a hardlink inside the extraction directory that points to a file     outside the extraction root, enabling arbitrary file read and write as the extracting user. Severity is     high because the primitive bypasses path protections and turns archive extraction into a direct filesystem     access primitive. This issue has been fixed in version 7.5.8. (CVE-2026-26960)

    node-tar is a full-featured Tar for Node.js. Prior to version 7.5.10, tar can be tricked into creating a     hardlink that points outside the extraction directory by using a drive-relative link target such as     C:../target.txt, which enables file overwrite outside cwd during normal tar.x() extraction. This issue has     been patched in version 7.5.10. (CVE-2026-29786)

Tenable has extracted the preceding description block directly from the tested product security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

It is, therefore, affected by multiple vulnerabilities as referenced in the ALAS2023-2026-1483 advisory.

    node-tar is a full-featured Tar for Node.js. When using default options in versions 7.5.7 and below, an     attacker-controlled archive can create a hardlink inside the extraction directory that points to a file     outside the extraction root, enabling arbitrary file read and write as the extracting user. Severity is     high because the primitive bypasses path protections and turns archive extraction into a direct filesystem     access primitive. This issue has been fixed in version 7.5.8. (CVE-2026-26960)

    node-tar is a full-featured Tar for Node.js. Prior to version 7.5.10, tar can be tricked into creating a     hardlink that points outside the extraction directory by using a drive-relative link target such as     C:../target.txt, which enables file overwrite outside cwd during normal tar.x() extraction. This issue has     been patched in version 7.5.10. (CVE-2026-29786)

Tenable has extracted the preceding description block directly from the tested product security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
304285	Amazon Linux 2023：nodejs20、nodejs20-devel、nodejs20-full-i18n (ALAS2023-2026-1484)	Nessus	Amazon Linux Local Security Checks	2026/3/30	2026/3/31	high
304285	Amazon Linux 2023 : nodejs20、nodejs20-devel、nodejs20-full-i18n (ALAS2023-2026-1484)	Nessus	Amazon Linux Local Security Checks	2026/3/30	2026/3/31	high
304295	Amazon Linux 2023: nodejs22、nodejs22-devel、nodejs22-full-i18n (ALAS2023-2026-1483)	Nessus	Amazon Linux Local Security Checks	2026/3/30	2026/3/30	high
304295	Amazon Linux 2023 : nodejs22、nodejs22-devel、nodejs22-full-i18n (ALAS2023-2026-1483)	Nessus	Amazon Linux Local Security Checks	2026/3/30	2026/3/30	high
301465	Linux Distros 未修補的弱點：CVE-2026-29786	Nessus	Misc.	2026/3/7	2026/4/29	high
301465	Linux Distros 未修补的漏洞：CVE-2026-29786	Nessus	Misc.	2026/3/7	2026/4/29	high
304295	Amazon Linux 2023 : nodejs22、nodejs22-devel、nodejs22-full-i18n (ALAS2023-2026-1483)	Nessus	Amazon Linux Local Security Checks	2026/3/30	2026/3/30	high
304285	Amazon Linux 2023 : nodejs20、nodejs20-devel、nodejs20-full-i18n (ALAS2023-2026-1484)	Nessus	Amazon Linux Local Security Checks	2026/3/30	2026/3/31	high
301465	Linux Distros のパッチ未適用の脆弱性: CVE-2026-29786	Nessus	Misc.	2026/3/7	2026/4/29	high
310898	Debian dla-4552 : node-tar - security update	Nessus	Debian Local Security Checks	2026/4/29	2026/4/29	high
301465	Linux Distros Unpatched Vulnerability : CVE-2026-29786	Nessus	Misc.	2026/3/7	2026/4/29	high
304285	Amazon Linux 2023 : nodejs20, nodejs20-devel, nodejs20-full-i18n (ALAS2023-2026-1484)	Nessus	Amazon Linux Local Security Checks	2026/3/30	2026/3/31	high
304295	Amazon Linux 2023 : nodejs22, nodejs22-devel, nodejs22-full-i18n (ALAS2023-2026-1483)	Nessus	Amazon Linux Local Security Checks	2026/3/30	2026/3/30	high

检测

插件搜索

high

high

high

high

high

high

high

high

high

high

high

high

high