There are packages installed that are affected by a vulnerability referenced in the following CVE:

  - OpenFGA is an authorization and permission engine built for developers. Prior to 1.18.1, the ListUsers API
    could return a user that should have been excluded when an authorization relation used an intersection
    containing a base but not excluded operand, the base was granted through a type-bound public wildcard, and
    the excluded user also had a concrete tuple through another intersection operand. In
    pkg/server/commands/listusers/list_users_rpc.go, expandIntersection counted the concrete tuple and
    wildcard without first rejecting entries in excludedUsersMap. Applications that used ListUsers to
    enumerate or enforce access could therefore treat an excluded user as authorized. This issue is fixed in
    version 1.18.1. (CVE-2026-61709)

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - OpenFGA 是专为开发人员构建的授权和权限引擎。在授权 1.18.1关系使用包含基本但未排除操作数的交集时，ListUsers API 可以返回本应排除的用户，该基本是通过类型绑定的公共通配符授予的，并且排除的用户还具有通过另一个交集操作数的具体元组。在 pkg/server/commands/listusers/list_users_rpc.go 中，expandIntersection 在没有首先拒绝 excludedUsersMap 中的条目的情况下计数了具体元组和通配符。使用 ListUsers 枚举或强制执行访问的应用程序因此可将排除的用户视为获得授权。此问题已在 1.18.1 版本中修复。(CVE-2026-61709)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且廠商未提供可用的修補程式。

  - OpenFGA 是專為開發人員構建的授權和權限引擎。在 1.18.1之前，當授權關係使用包含基數但未排除運算元的交集時，ListUsers API 可能會傳回本應被排除的使用者，基數是透過類型綁定的公用萬用字元授予的，並且排除的使用者也透過另一個交集運算元具有具體元組。在 pkg/server/commands/listusers/list_users_rpc.go 中，expandIntersection 計算了具體的元組和萬用字元，而無需先拒絕 excludedUsersMap 中的項目。因此，使用 ListUsers 列舉或強制執行存取權的應用程式可能會將排除的使用者視為已授權。1.18.1 版已修正此問題。(CVE-2026-61709)

請注意，Nessus 依賴供應商報告的套件存在。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - OpenFGA は、開発者向けに構築された承認および権限のエンジンです。1.18.1より前は、承認関係がベースを含む交差を使用するが除外オペランドは含まなかった場合、除外されるはずのユーザーを返していました。ベースがタイプバインドされたパブリックワイルドカードを通じて付与され、除外されたユーザーが別の交差オペランドを通じて具体的なタプルも持っていた場合でした。pkg/server/commands/listusers/list_users_rpc.go で、expandIntersection は、excludedUsersMap のエントリを最初に拒否せずに、具体的なタプルとワイルドカードをカウントしました。このため、アクセスを列挙または強制するために ListUsers を使用したアプリケーションが、除外されたユーザーを認証されたユーザーとして扱う可能性があります。この問題はバージョン 1.18.1 で修正されています。(CVE-2026-61709)

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

The Linux/Unix host has one or more packages installed that are impacted by a vulnerability without a vendor supplied patch available.

  - OpenFGA is an authorization and permission engine built for developers. Prior to 1.18.1, the ListUsers API     could return a user that should have been excluded when an authorization relation used an intersection     containing a base but not excluded operand, the base was granted through a type-bound public wildcard, and     the excluded user also had a concrete tuple through another intersection operand. In     pkg/server/commands/listusers/list_users_rpc.go, expandIntersection counted the concrete tuple and     wildcard without first rejecting entries in excludedUsersMap. Applications that used ListUsers to     enumerate or enforce access could therefore treat an excluded user as authorized. This issue is fixed in     version 1.18.1. (CVE-2026-61709)

Note that Nessus relies on the presence of the package as reported by the vendor.

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
462522	Echo: github.com/openfga/openfga: security update to 1.18.1	Tenable Self-Hosted Container Security	Echo Local Security Checks	2026/10/2	2026/10/5	medium
462522	Echo: github.com/openfga/openfga: security update to 1.18.1	Tenable Cloud Security	Echo Local Security Checks	2026/10/2	2026/10/5	medium
346940	Linux Distros 未修补的漏洞：CVE-2026-61709	Nessus	Misc.	2026/9/17	2026/11/10	medium
346940	Linux Distros 未修補弱點：CVE-2026-61709	Nessus	Misc.	2026/9/17	2026/11/10	medium
346940	Linux Distros のパッチ未適用の脆弱性: CVE-2026-61709	Nessus	Misc.	2026/9/17	2026/11/10	medium
346940	Linux Distros Unpatched Vulnerability : CVE-2026-61709	Nessus	Misc.	2026/9/17	2026/11/10	medium

检测

插件搜索

medium

medium

medium

medium

medium

medium