There are packages installed that are affected by a vulnerability referenced in the following CVE:

  - PDM is a Python package and dependency manager. In versions up to and including 2.26.9, PDM automatically
    loads project-local plugins from a .pdm-plugins directory during initialization, allowing an attacker-
    controlled file in an untrusted repository checkout to execute arbitrary Python code before any command is
    parsed. This happens because load_plugins() runs during Core.init() and adds .pdm-plugins via
    site.addsitedir(), which processes .pth files and immediately executes any line beginning with import, so
    the code runs with the privileges of the user invoking pdm and even a benign command such as pdm --version
    triggers it (making the impact strongest in CI, automation, and privileged contexts). The issue is fixed
    in version 2.27.0. (CVE-2026-47781)

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且廠商未提供可用的修補程式。

  - PDM 是一個 Python 套件和相依性管理器。在 （包括 2.26.9） 之前的版本中，PDM 會在初始化期間從 .pdm-plugins 目錄自動載入專案本機外掛程式，允許不受信任存放庫簽出中攻擊者控制的檔案在剖析任何命令之前執行任意 Python 程式碼。發生這種情況是因為 load_plugins（） 在 Core.init（） 期間運行，並通過 site.addsitedir（） 添加 .pdm-plugins，它處理 .pth 文件並立即執行以 import 開頭的任何行，因此代碼以調用 pdm 的用戶權限運行，甚至 pdm --version 等良性命令也會觸發它（使 CI、自動化和特權上下文中的影響最強）。2.27.0 版已修正此問題。(CVE-2026-47781)

請注意，Nessus 依賴供應商報告的套件存在。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - PDM 是一个 Python 程序包和依存关系管理器。在及之前 2.26.9版本中，PDM 会在初始化期间自动从 .pdm-plugins 目录加载项目本地插件，从而允许不受信任的存储库检出中受攻击者控制的文件在解析任何命令之前执行任意 Python 代码。这是因为 load_plugins（） 在 Core.init（） 期间运行并通过 site.addsitedir（） 添加 .pdm-plugins，这样会处理 .pth 文件并立即执行以 import 开头的任何行，因此代码会以调用 pdm 的用户的权限运行，甚至是良性命令（例如 pdm --version ）会触发它（使 CI、自动化和特权上下文中的影响最强）。此问题已在 2.27.0 版本中修复。(CVE-2026-47781)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

リモートの openSUSE 16 ホストに、複数の脆弱性の影響を受けているパッケージがインストールされています。これらの脆弱性は openSUSE-SU-2026:21161-1 アドバイザリで言及されています。

    python-pdm の変更点:

    - CVE-2026-47763:構成ファイルを書き込む際にシンボリックリンクをたどりません(bsc#1268384)
    - CVE-2026-47763:スキーマ dir 外のパスに書き込みません(bsc#1268385)
    - CVE-2026-47781:project_plugins_dir を使用するようにプラグインインストールパスを更新します(bsc#1268386)

Tenable は、前述の記述ブロックを SUSE セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - PDM は Python パッケージと依存関係マネージャーです。2.26.9までのバージョンでは、PDMは初期化中に.pdm-pluginsディレクトリからプロジェクトローカルのプラグインを自動的にロードします。これにより、信頼できないリポジトリのチェックアウトにある攻撃者が制御するファイルが、コマンドが解析される前に任意のPythonコードを実行する可能性があります。これは、load_plugins()がCore.init()中に実行され、site.addsitedir()を介して.pdm-pluginsを追加すると、.pthファイルが処理され、importで始まる任意の行が即座に実行されるため、コードはpdmを呼び出すユーザーの権限で実行され、pdmなどの無害なコマンド --version トリガーされます(CI、自動化、特権コンテキストで影響が最も強いものになる)ためです。この問題は、バージョン 2.27.0 で修正されています。(CVE-2026-47781)

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

The remote openSUSE 16 host has a package installed that is affected by multiple vulnerabilities as referenced in the openSUSE-SU-2026:21161-1 advisory.

    Changes in python-pdm:

    - CVE-2026-47763: Do not follow symlinks when writing config files (bsc#1268384)
    - CVE-2026-47763: Do not write to paths outside the scheme dir (bsc#1268385)
    - CVE-2026-47781: Update plugin installation path to use project_plugins_dir (bsc#1268386)

Tenable has extracted the preceding description block directly from the SUSE security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

The Linux/Unix host has one or more packages installed that are impacted by a vulnerability without a vendor supplied patch available.

  - PDM is a Python package and dependency manager. In versions up to and including 2.26.9, PDM automatically     loads project-local plugins from a .pdm-plugins directory during initialization, allowing an attacker-     controlled file in an untrusted repository checkout to execute arbitrary Python code before any command is     parsed. This happens because load_plugins() runs during Core.init() and adds .pdm-plugins via     site.addsitedir(), which processes .pth files and immediately executes any line beginning with import, so     the code runs with the privileges of the user invoking pdm and even a benign command such as pdm --version     triggers it (making the impact strongest in CI, automation, and privileged contexts). The issue is fixed     in version 2.27.0. (CVE-2026-47781)

Note that Nessus relies on the presence of the package as reported by the vendor.

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
443069	SCA: security update for pdm (GHSA-qq6c-99pv-prvf)	Tenable Cloud Security	SCA Checks	2026/6/11	2026/8/5	high
443069	SCA: security update for pdm (GHSA-qq6c-99pv-prvf)	Tenable Self-Hosted Container Security	SCA Checks	2026/6/11	2026/8/5	high
332064	Linux Distros 未修補弱點：CVE-2026-47781	Nessus	Misc.	2026/8/4	2026/8/6	high
332064	Linux Distros 未修补的漏洞：CVE-2026-47781	Nessus	Misc.	2026/8/4	2026/8/6	high
324056	openSUSE 16 セキュリティ更新:python-pdm(openSUSE-SU-2026:21161-1)	Nessus	SuSE Local Security Checks	2026/7/1	2026/7/1	high
332064	Linux Distros のパッチ未適用の脆弱性: CVE-2026-47781	Nessus	Misc.	2026/8/4	2026/8/6	high
324056	openSUSE 16 Security Update : python-pdm (openSUSE-SU-2026:21161-1)	Nessus	SuSE Local Security Checks	2026/7/1	2026/7/1	high
332064	Linux Distros Unpatched Vulnerability : CVE-2026-47781	Nessus	Misc.	2026/8/4	2026/8/6	high

检测

插件搜索

high

high

high

high

high

high

high

high