因此，它受到 ALAS2023-2026-2152 公告中提及的一个漏洞影响。

    程序包 bin 路径可转义程序包目录，从而绕过 GHSA-gjfg-22fp-rrxx 补丁。当恶意或遭到破坏的 Composer 程序包作为依存关系安装时，可导致 Composer 更改该程序包自有目录外的文件的权限，并注册指向该外部文件的可运行 vendor/bin 命令。这是路径遍历和链接引导问题。这不是远程代码执行，攻击者无法直接读取或接收您的数据。风险在于，原本仅可由其所有者读取，但可由 Composer 修改的文件，可被提升为全局可读和可执行文件，这足以在共享或多租户主机上暴露其内容。可以绕过 GHSA-gjfg-22fp-rrxx 之前的强化，因为它仅拒绝文字 ..路径段，在依存关系解析期间仅应用在单一位置。（CVE-2026-59944）

Tenable 已直接从测试产品的安全公告中提取上述描述块。

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

因此，它會受到 ALAS2023-2026-2152 公告中提及的一個弱點影響。

    套件 bin 路徑可以逸出套件目錄，繞過 GHSA-gjfg-22fp-rrxx 修正。惡意或遭入侵的 Composer 套件作為相依性安裝時，可能會導致 Composer 變更該套件自有目錄之外的檔案權限，並註冊指向該外部檔案的可執行 vendor/bin 命令。這是路徑遊走和連結追蹤問題。這不是遠端程式碼執行，攻擊者無法直接讀取或接收您的資料。風險在於，只有其擁有者可讀取，但可由 Composer 修改的檔案，可能會讓全世界可讀且可執行，這足以在共用或多租用戶主機上公開其內容。可以繞過 GHSA-gjfg-22fp-rrxx 的早期強化，因為它只拒絕了文字 ..路徑區段，且僅在相依性解析期間套用在單一位置。（CVE-2026-59944）

Tenable 已直接從所測試產品的安全公告擷取前置描述區塊。

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且供應商未提供可用的修補程式。

  - Composer 是 PHP 語言的相依性管理員。From 1.0 until 2.2.30 和 from 2.3.0 until 2.10.3，惡意或受損的相依性可能會略過先前 CVE-2026-59946 的二進位路徑強化，因為 Composer 只會在相依性解析期間驗證文字父目錄區段，而公告所述的符號連結和已安裝中繼資料路徑會略過該驗證。套件可以提供套件內二進位符號連結，該連結解析於其安裝目錄之外，或者受攻擊者影響的 vendor/composer/installed.json 中繼資料可以在重新安裝或重新產生遺失的廠商/bin 項目期間提供逸出的二進位路徑。只有當廠商目錄未由相同的已驗證安裝執行填入時，例如從不受信任的快取還原、從較早的建置階段複製、從舊版 Composer 執行繼承，或由信任度較低的建置步驟可寫入時，才能存取已安裝的中繼資料路徑。Composer 可以遵循路徑，變更外部目標的權限，使其可供全球讀取和執行，並建立該外部檔案的可執行供應商/bin Proxy。此問題不會直接讀取或傳輸資料，而且本身不會提供遠端程式碼執行。此問題已在 2.2.30 和 2.10.3 版中修正。(CVE-2026-59944)

請注意，Nessus 的判定取決於廠商所報告的套件是否存在。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - Composer 是 PHP 语言的依存关系管理器。From 1.0 until 2.2.30 和 From 2.3.0 Until 2.10.3，恶意或受到破坏的依赖项可以绕过较早 CVE-2026-59946 的二进制路径强化，因为 Composer 仅在依存关系解析期间验证文字父目录段，而公告所述的 symlink 和已安装元数据路径会跳过该验证。程序包可提供解析于其安装目录外的程序包内二进制 symlink，或者受攻击者影响的 vendor/composer/installed.json 元数据可在重新安装或重新生成缺少的供应商/bin 条目期间提供转义二进制路径。只有当供应商目录未由相同经过验证的安装运行填充时，例如从不受信任的缓存还原、从较早的构建阶段复制、从较早的 Composer 运行继承或可由较低信任度的构建步骤写入时，才可访问已安装元数据路径。Composer 可跟踪路径，更改外部目标的权限以使其全局可读和可执行，并创建该外部文件的可运行供应商/bin 代理。该问题不直接读取或传输数据，本身也不提供远程代码执行。此问题已在 2.2.30 和 2.10.3 版本中得到修补。(CVE-2026-59944)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

リモートの Fedora 43 ホストには、FEDORA-2026-0425df0537 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    ### バージョン 2.10.3 - 2026 年 8 月 27 日

      * **セキュリティ**:シンボリックリンクを使用するパストラバーサルに対してパッケージ bin パスを検証します(GHSA-96h3-5x6v-m776、 CVE-2026-59944)
      * **セキュリティ**:悪意のある Perforce URL を介したコマンドインジェクションを修正しました(GHSA-rvx4-ffvw-m9q3)
      * **セキュリティ**:URL に埋め込まれたユーザー名/トークンをさらにいくつかの場所でサニタイズします(#13044)
      * **セキュリティ**:間違ったドメインへの資格情報の漏えいの可能性を回避するためにgitlab URLの一致を修正しました(#12988)
      * PHP 8.6 廃止予定警告を修正しました(#12967、 #13028)
      * ポリシーがパッケージバージョンをブロックする際のエラー出力を修正し、より明確にします(#12993)
      * 実行時に破壊されてしまう競合マーカー付きのロックファイルの content-hash を修正しました(#13048)
      * 複数の Composer プロセスを並行して実行する際のキャッシュディレクトリなどのディレクトリの作成中に発生する可能性がある競合状態を修正しました(#12977)
      * 空のリポジトリをより適切に処理するために forgejo サポートを修正しました(#12968)
      * FilterListApiClient が転送オプションを転送しない問題を修正しました(#13040)



Tenable は、前述の記述ブロックを Fedora セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートの Fedora 44 ホストには、FEDORA-2026-5995821369 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    ### バージョン 2.10.3 - 2026 年 8 月 27 日

      * **セキュリティ**:シンボリックリンクを使用するパストラバーサルに対してパッケージ bin パスを検証します(GHSA-96h3-5x6v-m776、 CVE-2026-59944)
      * **セキュリティ**:悪意のある Perforce URL を介したコマンドインジェクションを修正しました(GHSA-rvx4-ffvw-m9q3)
      * **セキュリティ**:URL に埋め込まれたユーザー名/トークンをさらにいくつかの場所でサニタイズします(#13044)
      * **セキュリティ**:間違ったドメインへの資格情報の漏えいの可能性を回避するためにgitlab URLの一致を修正しました(#12988)
      * PHP 8.6 廃止予定警告を修正しました(#12967、 #13028)
      * ポリシーがパッケージバージョンをブロックする際のエラー出力を修正し、より明確にします(#12993)
      * 実行時に破壊されてしまう競合マーカー付きのロックファイルの content-hash を修正しました(#13048)
      * 複数の Composer プロセスを並行して実行する際のキャッシュディレクトリなどのディレクトリの作成中に発生する可能性がある競合状態を修正しました(#12977)
      * 空のリポジトリをより適切に処理するために forgejo サポートを修正しました(#12968)
      * FilterListApiClient が転送オプションを転送しない問題を修正しました(#13040)



Tenable は、前述の記述ブロックを Fedora セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

したがって、ALAS2023-2026-2152 のアドバイザリに記載されている脆弱性の影響を受けます。

    パッケージ bin パスがパッケージディレクトリをエスケープし、GHSA-gjfg-22fp-rrxx 修正をバイパスする可能性があります。悪意のある、または危険にさらされているComposerパッケージは、依存関係としてインストールされた場合、Composerにそのパッケージ自身のディレクトリ外のファイルのアクセス許可を変更させ、その外部ファイルを指し示す実行可能なvendor/binコマンドを登録させる可能性があります。これは、パストラバーサルおよびリンクフォローの問題です。これはリモートコード実行ではなく、攻撃者はデータを直接読み取ったり受信したりする能力を得ることができません。そのリスクは、所有者だけが読み取れるが、Composer によって変更可能だったファイルが、誰でも読み取れ、実行可能になり、共有またはマルチテナントホストでそのコンテンツを露出する可能性があることです。GHSA-gjfg-22fp-rrxx からの以前の強化は、リテラル .. を拒否するだけであるため、バイパスできます。パッケージの宣言されたバイナリのパスセグメントであり、依存関係の解決中に単一の場所でのみ適用されていました。(CVE-2026-59944)

Tenable は、前述の記述ブロックをテスト済み製品のセキュリティアドバイザリから直接抽出しています。

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートホストにインストールされている FreeBSD のバージョンは、テスト済みバージョンより前です。したがって、db135cd1-a232-11f1-85ed-10ffe07f9334 のアドバイザリに記載されている脆弱性の影響を受けます。

    Composer プロジェクトによる報告:
    シンボリックリンクを使用したパストラバーサルに対してパッケージバイナリのパスを検証します(GHSA-96h3-5x6v-m776、 CVE-2026-59944) 悪意のある Perforce URL によるコマンドインジェクションを修正しました(GHSA-rvx4-ffvw-m9q3)

Tenable は、前述の記述ブロックを FreeBSD セキュリティアドバイザリから直接抽出しています。

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - Composer は、PHP 言語の依存関係マネージャーです。1.0から2.2.30まで、2.3.0から2.10.3まで、悪意のある、または侵害された依存関係が、以前のCVE-2026-59946バイナリパスの堅牢化をバイパスする可能性があります。これは、Composerが依存関係の解決中にのみリテラル親ディレクトリセグメントを検証し、アドバイザリで記述されているシンボリックリンクとインストール済みメタデータのパスが検証をスキップするためです。パッケージが、そのインストールディレクトリの外で解決されるパッケージ内のバイナリシンボリックリンクを出荷する可能性があります。または、攻撃者の影響を受ける vendor/composer/installed.json メタデータが、欠如しているベンダー/bin エントリの再インストールまたは再生成中に、エスケープバイナリパスを提供する可能性があります。インストール済みメタデータパスは、ベンダーディレクトリが同じ検証済みインストール実行によって入力されていない場合にのみ到達可能です。たとえば、信頼できないキャッシュから復元されるとき、以前のビルドステージからコピーされたとき、古いコンポーザー実行から引き継がれるとき、または信頼度の低いビルドステップによって書き込み可能なときなどです。Composerはパスをたどり、外部ターゲットのアクセス許可を変更して誰でも読み込み可能で実行可能にし、その外部ファイルに対して実行可能なベンダー/binプロキシを作成できます。この問題は、データを直接読み取ったり伝送したりすることはなく、それ自体ではリモートコードの実行を引き起こしません。この問題はバージョン 2.2.30および 2.10.3で修正されています。(CVE-2026-59944)

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

リモートの Fedora 45 ホストには、FEDORA-2026-249d41312c のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    ### バージョン 2.10.3 - 2026 年 8 月 27 日

      * **セキュリティ**:シンボリックリンクを使用するパストラバーサルに対してパッケージ bin パスを検証します(GHSA-96h3-5x6v-m776、 CVE-2026-59944)
      * **セキュリティ**:悪意のある Perforce URL を介したコマンドインジェクションを修正しました(GHSA-rvx4-ffvw-m9q3)
      * **セキュリティ**:URL に埋め込まれたユーザー名/トークンをさらにいくつかの場所でサニタイズします(#13044)
      * **セキュリティ**:間違ったドメインへの資格情報の漏えいの可能性を回避するためにgitlab URLの一致を修正しました(#12988)
      * PHP 8.6 廃止予定警告を修正しました(#12967、 #13028)
      * ポリシーがパッケージバージョンをブロックする際のエラー出力を修正し、より明確にします(#12993)
      * 実行時に破壊されてしまう競合マーカー付きのロックファイルの content-hash を修正しました(#13048)
      * 複数の Composer プロセスを並行して実行する際のキャッシュディレクトリなどのディレクトリの作成中に発生する可能性がある競合状態を修正しました(#12977)
      * 空のリポジトリをより適切に処理するために forgejo サポートを修正しました(#12968)
      * FilterListApiClient が転送オプションを転送しない問題を修正しました(#13040)



Tenable は、前述の記述ブロックを Fedora セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

The version of FreeBSD installed on the remote host is prior to tested version. It is, therefore, affected by a vulnerability as referenced in the db135cd1-a232-11f1-85ed-10ffe07f9334 advisory.

    Composer project reports:
    Validate package bin paths against path traversal using symlinks (GHSA-96h3-5x6v-m776, CVE-2026-59944)     Fixed command injection via malicious Perforce url (GHSA-rvx4-ffvw-m9q3)

Tenable has extracted the preceding description block directly from the FreeBSD security advisory.

Note that Nessus has not tested for this issue but has instead relied only on the application's self-reported version number.

The remote Fedora 43 host has a package installed that is affected by multiple vulnerabilities as referenced in the FEDORA-2026-0425df0537 advisory.

    ### Version 2.10.3 - 2026-08-27

      * **Security**: Validate package bin paths against path traversal using symlinks (GHSA-96h3-5x6v-m776,     CVE-2026-59944)
      * **Security**: Fixed command injection via malicious Perforce url (GHSA-rvx4-ffvw-m9q3)
      * **Security**: Sanitize URL-embedded usernames/token in a few more places (#13044)
      * **Security**: Fixed matching of gitlab URLs to avoid possible credential leak to the wrong domain     (#12988)
      * Fixed PHP 8.6 deprecation warnings (#12967, #13028)
      * Fixed error output when a policy blocks a package version to be clearer (#12993)
      * Fixed the lock file's content-hash with a conflict marker ending up breaking at runtime (#13048)
      * Fixed possible race condition while creating directories like the cache dir when running multiple     Composer processes in parallel (#12977)
      * Fixed forgejo support to handle empty repositories better (#12968)
      * Fixed FilterListApiClient not forwarding transport options (#13040)



Tenable has extracted the preceding description block directly from the Fedora security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

The remote Fedora 44 host has a package installed that is affected by multiple vulnerabilities as referenced in the FEDORA-2026-5995821369 advisory.

    ### Version 2.10.3 - 2026-08-27

      * **Security**: Validate package bin paths against path traversal using symlinks (GHSA-96h3-5x6v-m776,     CVE-2026-59944)
      * **Security**: Fixed command injection via malicious Perforce url (GHSA-rvx4-ffvw-m9q3)
      * **Security**: Sanitize URL-embedded usernames/token in a few more places (#13044)
      * **Security**: Fixed matching of gitlab URLs to avoid possible credential leak to the wrong domain     (#12988)
      * Fixed PHP 8.6 deprecation warnings (#12967, #13028)
      * Fixed error output when a policy blocks a package version to be clearer (#12993)
      * Fixed the lock file's content-hash with a conflict marker ending up breaking at runtime (#13048)
      * Fixed possible race condition while creating directories like the cache dir when running multiple     Composer processes in parallel (#12977)
      * Fixed forgejo support to handle empty repositories better (#12968)
      * Fixed FilterListApiClient not forwarding transport options (#13040)



Tenable has extracted the preceding description block directly from the Fedora security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

It is, therefore, affected by a vulnerability as referenced in the ALAS2023-2026-2152 advisory.

    Package bin path can escape the package directory, bypassing the GHSA-gjfg-22fp-rrxx fix. A malicious or     compromised Composer package could, when installed as a dependency, cause Composer to change the     permissions of a file outside that package's own directory and to register a runnable vendor/bin command     that points at that outside file. This is a path traversal and link following issue. It is not remote code     execution, the attacker gains no ability to read or receive your data directly. The risk is that a file     which was readable only by its owner, but modifiable by Composer, can be made world readable and     executable, which is enough to expose its contents on a shared or multi tenant host. The earlier hardening     from GHSA-gjfg-22fp-rrxx can be bypassed, since it only rejected literal .. path segments in a package's     declared binaries, and was only applied in a single place during dependency resolution. (CVE-2026-59944)

Tenable has extracted the preceding description block directly from the tested product security advisory.

Note that Nessus has not tested for this issue but has instead relied only on the application's self-reported version number.

The remote Fedora 45 host has a package installed that is affected by multiple vulnerabilities as referenced in the FEDORA-2026-249d41312c advisory.

    ### Version 2.10.3 - 2026-08-27

      * **Security**: Validate package bin paths against path traversal using symlinks (GHSA-96h3-5x6v-m776,     CVE-2026-59944)
      * **Security**: Fixed command injection via malicious Perforce url (GHSA-rvx4-ffvw-m9q3)
      * **Security**: Sanitize URL-embedded usernames/token in a few more places (#13044)
      * **Security**: Fixed matching of gitlab URLs to avoid possible credential leak to the wrong domain     (#12988)
      * Fixed PHP 8.6 deprecation warnings (#12967, #13028)
      * Fixed error output when a policy blocks a package version to be clearer (#12993)
      * Fixed the lock file's content-hash with a conflict marker ending up breaking at runtime (#13048)
      * Fixed possible race condition while creating directories like the cache dir when running multiple     Composer processes in parallel (#12977)
      * Fixed forgejo support to handle empty repositories better (#12968)
      * Fixed FilterListApiClient not forwarding transport options (#13040)



Tenable has extracted the preceding description block directly from the Fedora security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

The Linux/Unix host has one or more packages installed that are impacted by a vulnerability without a vendor supplied patch available.

  - Composer is a dependency Manager for the PHP language. From 1.0 until 2.2.30 and from 2.3.0 until 2.10.3,     a malicious or compromised dependency can bypass the earlier CVE-2026-59946 binary-path hardening because     Composer validates literal parent-directory segments only during dependency resolution, while the symlink     and installed-metadata paths described by the advisory skip that validation. A package can ship an in-     package binary symlink that resolves outside its installation directory, or attacker-influenced     vendor/composer/installed.json metadata can provide an escaping binary path during a reinstall or     regeneration of missing vendor/bin entries. The installed-metadata path is reachable only when the vendor     directory was not populated by the same validated install run, such as when it is restored from an     untrusted cache, copied from an earlier build stage, carried over from an older Composer run, or writable     by a lower-trust build step. Composer can follow the path, change the external target's permissions to     make it world-readable and executable, and create a runnable vendor/bin proxy to that external file. The     issue does not directly read or transmit data and does not by itself provide remote code execution. This     issue is fixed in versions 2.2.30 and 2.10.3. (CVE-2026-59944)

Note that Nessus relies on the presence of the package as reported by the vendor.

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
345803	Amazon Linux 2023：composer (ALAS2023-2026-2152)	Nessus	Amazon Linux Local Security Checks	2026/9/14	2026/9/17	medium
345803	Amazon Linux 2023：composer (ALAS2023-2026-2152)	Nessus	Amazon Linux Local Security Checks	2026/9/14	2026/9/17	medium
341539	Linux Distros 未修補弱點：CVE-2026-59944	Nessus	Misc.	2026/8/29	2026/9/18	medium
341539	Linux Distros 未修补的漏洞：CVE-2026-59944	Nessus	Misc.	2026/8/29	2026/9/18	medium
342928	Fedora 43:composer(2026-0425df0537)	Nessus	Fedora Local Security Checks	2026/9/4	2026/9/17	high
343055	Fedora 44:composer(2026-5995821369)	Nessus	Fedora Local Security Checks	2026/9/5	2026/9/17	high
345803	Amazon Linux 2023 : composer (ALAS2023-2026-2152)	Nessus	Amazon Linux Local Security Checks	2026/9/14	2026/9/17	medium
341196	FreeBSD : PHP Composer -- 複数の脆弱性 (db135cd1-a232-11f1-85ed-10ffe07f9334)	Nessus	FreeBSD Local Security Checks	2026/8/28	2026/9/17	medium
341539	Linux Distros のパッチ未適用の脆弱性: CVE-2026-59944	Nessus	Misc.	2026/8/29	2026/9/18	medium
344878	Fedora 45:composer(2026-249d41312c)	Nessus	Fedora Local Security Checks	2026/9/11	2026/9/17	high
341196	FreeBSD : PHP Composer -- Multiple vulnerabilities (db135cd1-a232-11f1-85ed-10ffe07f9334)	Nessus	FreeBSD Local Security Checks	2026/8/28	2026/9/17	medium
342928	Fedora 43 : composer (2026-0425df0537)	Nessus	Fedora Local Security Checks	2026/9/4	2026/9/17	high
343055	Fedora 44 : composer (2026-5995821369)	Nessus	Fedora Local Security Checks	2026/9/5	2026/9/17	high
345803	Amazon Linux 2023 : composer (ALAS2023-2026-2152)	Nessus	Amazon Linux Local Security Checks	2026/9/14	2026/9/17	medium
344878	Fedora 45 : composer (2026-249d41312c)	Nessus	Fedora Local Security Checks	2026/9/11	2026/9/17	high
341539	Linux Distros Unpatched Vulnerability : CVE-2026-59944	Nessus	Misc.	2026/8/29	2026/9/18	medium

检测

插件搜索

medium

medium

medium

medium

high

high

medium

medium

medium

high

medium

high

high

medium

high

medium