如 JSDSERVER-16530 公告中所述远程主机上运行的 Atlassian Jira Service Management Data Center 和 Server (Jira Service Desk) 版本受到漏洞的影响。

  - node-tar用于 Node.js 的 Tar在版本 至包括 7.5.3中存在一个争用条件漏洞。这是因为“path-reservations”系统中未完整处理 Unicode 路径冲突所致。在不区分大小写或规范化不敏感的文件系统如 macOS APFS此库已在 中进行测试库无法锁定冲突的路径如 `asse` 和 `ss`允许并行处理它们。这会绕过库的内部并发防护措施并允许通过争用条件进行符号链接中毒攻击。该库使用“PathReservations”系统确保序列化同一路径的元数据检查和文件操作。这可防止一个条目可能同时破坏另一个条目的争用情况。这是启用任意文件覆盖的争用条件。此漏洞会影响 macOS (APFS/HFS+) 上使用 node-tar 的用户和系统。由于使用了“NFD” Unicode 规范化其中“ beta ”和“ ss 不同”在忽略 Unicode 规范化的文件系统例如 APFS与“ss”发生冲突))。这使得攻击者能够使用恶意 tar 存档中冲突的文件名避开内部并行化锁PathReservations。 7.5.4 版中的修补程序将 `path-reservations.js` 更新为使用与目标文件系统的行为例如 `NFKD`匹配的规范化形式具体而言后为 `toLocaleLowerCase('en')`再为 `toLocaleUpperCase(' en')`。对无法及时升级的用户以及以编程方式使用“node-tar”提取任意 tarball 数据的用户筛选出所有“SymbolicLink”条目如 npm 的变通方案以防止通过此文件系统条目名称进行任意文件写入冲突问题。 (CVE-2026-23950)

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

因此，该软件受到 ALAS2023-2026-1464 公告中提及的多个漏洞影响。

    node-tar 是一个用于 Node.js 的 Tar 。当 reservePaths 为 false默认安全行为时node-tar 库 (<= 7.5.2) 无法审查链接硬链接和 SymbolicLink 条目的链接路径。这可使恶意存档绕过提取根限制从而通过硬链接导致任意文件覆盖通过绝对符号链接目标导致符号链接中毒。此漏洞已在 7.5.3 中修复。
    (CVE-2026-23745)

    node-tar用于 Node.js 的 Tar在版本 至包含一个争用条件漏洞 7.5.3中。这是因为“path-reservations”系统中未完整处理 Unicode 路径冲突所致。在不区分大小写或标准化的文件系统如 macOS APFS中库 已在 中进行测试库无法锁定冲突的路径如 `ss` 和 `ss`从而允许并行处理它们。这会绕过库的内部并发防护措施并允许通过争用条件进行符号链接中毒攻击。该库使用“PathReservations”系统确保序列化同一路径的元数据检查和文件操作。这可防止一个条目可能同时破坏另一个条目的争用情况。这是启用任意文件覆盖的争用条件。此漏洞会影响 macOS (APFS/HFS+) 上使用 node-tar 的用户和系统。由于使用了“NFD” Unicode 规范化其中ss 和 ss 不同在忽略 Unicode 规范化的文件系统例如 APFS其中ss 导致 inode与“ss”发生冲突))。这使得攻击者能够使用恶意 tar 存档中冲突的文件名避开内部并行化锁PathReservations。 7.5.4 版中的修补程序将 `path-reservations.js` 更新为使用与目标文件系统的行为例如 `NFKD`匹配的规范化形式具体而言后为 `toLocaleLowerCase('en')`再为 `toLocaleUpperCase(' en')`。
    对无法及时升级的用户以及以编程方式使用“node-tar”提取任意 tarball 数据的用户筛选出所有“SymbolicLink”条目如 npm 的变通方案以防止通过此文件系统条目名称进行任意文件写入冲突问题。 (CVE-2026-23950)

Tenable 已直接从测试产品的安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

因此，该软件受到 ALAS2023-2026-1465 公告中提及的多个漏洞影响。

    在 juligruber 大括号扩展至 1.1.11/2.0.1/3.0.0/4.0.0中发现一个漏洞。已将此漏洞评定为“有问题”。受此问题影响的是 index.js 文件的 function expand。操控会导致正则表达式复杂性低下。攻击者可远程执行攻击。攻击的复杂度相当高。已知很难实现此漏洞利用。该漏洞已被公开并可被使用。升级到版本 1.1.12、 2.0.2、 3.0.1 和 4.0.1 可解决此问题。
    修补程序的名称为 a5b98a4f30d7813266b221435e1eaaf25a1b0ac5。建议升级受影响的组件。(CVE-2025-5889)

    node-tar 是一个用于 Node.js 的 Tar 。当 reservePaths 为 false默认安全行为时node-tar 库 (<= 7.5.2) 无法审查链接硬链接和 SymbolicLink 条目的链接路径。这可使恶意存档绕过提取根限制从而通过硬链接导致任意文件覆盖通过绝对符号链接目标导致符号链接中毒。此漏洞已在 7.5.3 中修复。
    (CVE-2026-23745)

    node-tar用于 Node.js 的 Tar在版本 至包含一个争用条件漏洞 7.5.3中。这是因为“path-reservations”系统中未完整处理 Unicode 路径冲突所致。在不区分大小写或标准化的文件系统如 macOS APFS中库 已在 中进行测试库无法锁定冲突的路径如 `ss` 和 `ss`从而允许并行处理它们。这会绕过库的内部并发防护措施并允许通过争用条件进行符号链接中毒攻击。该库使用“PathReservations”系统确保序列化同一路径的元数据检查和文件操作。这可防止一个条目可能同时破坏另一个条目的争用情况。这是启用任意文件覆盖的争用条件。此漏洞会影响 macOS (APFS/HFS+) 上使用 node-tar 的用户和系统。由于使用了“NFD” Unicode 规范化其中ss 和 ss 不同在忽略 Unicode 规范化的文件系统例如 APFS其中ss 导致 inode与“ss”发生冲突))。这使得攻击者能够使用恶意 tar 存档中冲突的文件名避开内部并行化锁PathReservations。 7.5.4 版中的修补程序将 `path-reservations.js` 更新为使用与目标文件系统的行为例如 `NFKD`匹配的规范化形式具体而言后为 `toLocaleLowerCase('en')`再为 `toLocaleUpperCase(' en')`。
    对无法及时升级的用户以及以编程方式使用“node-tar”提取任意 tarball 数据的用户筛选出所有“SymbolicLink”条目如 npm 的变通方案以防止通过此文件系统条目名称进行任意文件写入冲突问题。 (CVE-2026-23950)

Tenable 已直接从测试产品的安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

因此，该软件受到 ALAS2023-2026-1466 公告中提及的多个漏洞影响。

    node-tar 是一个用于 Node.js 的 Tar 。当 reservePaths 为 false默认安全行为时node-tar 库 (<= 7.5.2) 无法审查链接硬链接和 SymbolicLink 条目的链接路径。这可使恶意存档绕过提取根限制从而通过硬链接导致任意文件覆盖通过绝对符号链接目标导致符号链接中毒。此漏洞已在 7.5.3 中修复。
    (CVE-2026-23745)

    node-tar用于 Node.js 的 Tar在版本 至包含一个争用条件漏洞 7.5.3中。这是因为“path-reservations”系统中未完整处理 Unicode 路径冲突所致。在不区分大小写或标准化的文件系统如 macOS APFS中库 已在 中进行测试库无法锁定冲突的路径如 `ss` 和 `ss`从而允许并行处理它们。这会绕过库的内部并发防护措施并允许通过争用条件进行符号链接中毒攻击。该库使用“PathReservations”系统确保序列化同一路径的元数据检查和文件操作。这可防止一个条目可能同时破坏另一个条目的争用情况。这是启用任意文件覆盖的争用条件。此漏洞会影响 macOS (APFS/HFS+) 上使用 node-tar 的用户和系统。由于使用了“NFD” Unicode 规范化其中ss 和 ss 不同在忽略 Unicode 规范化的文件系统例如 APFS其中ss 导致 inode与“ss”发生冲突))。这使得攻击者能够使用恶意 tar 存档中冲突的文件名避开内部并行化锁PathReservations。 7.5.4 版中的修补程序将 `path-reservations.js` 更新为使用与目标文件系统的行为例如 `NFKD`匹配的规范化形式具体而言后为 `toLocaleLowerCase('en')`再为 `toLocaleUpperCase(' en')`。
    对无法及时升级的用户以及以编程方式使用“node-tar”提取任意 tarball 数据的用户筛选出所有“SymbolicLink”条目如 npm 的变通方案以防止通过此文件系统条目名称进行任意文件写入冲突问题。 (CVE-2026-23950)

    Node.js 的 Tarnode-tar 在低于 7.5.7 的版本中包含一个漏洞其中硬链接条目安全检查使用的路径解析语义与实际硬链接创建逻辑不同。
    这种不匹配允许攻击者构建恶意 TAR 存档绕过路径遍历保护并创建指向提取目录外部任意文件的硬链接。版本 7.5.7 包含针对 问题的补丁。 (CVE-2026-24842)

Tenable 已直接从测试产品的安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - node-tar用于 Node.js 的 Tar在版本 至包括 7.5.3中存在一个争用条件漏洞。这是因为“path-reservations”系统中未完整处理 Unicode 路径冲突所致。上不区分大小写或不区分规范化的文件系统如 macOS APFS已在 中进行测试库无法锁定冲突的路径如 ` 和 `ss`允许并行处理。
    这会绕过库的内部并发防护措施并允许通过争用条件进行符号链接中毒攻击。该库使用“PathReservations”系统确保序列化同一路径的元数据检查和文件操作。这可防止一个条目可能同时破坏另一个条目的争用情况。这是启用任意文件覆盖的争用条件。此漏洞会影响 macOS (APFS/HFS+) 上使用 node-tar 的用户和系统。由于使用 `NFD` Unicode 规范化其中 和 `ss 不同在忽略 Unicode 规范化的文件系统例如 APFS其中 造成与`ss`))。这使得攻击者能够使用恶意 tar 存档中冲突的文件名避开内部并行化锁PathReservations。 7.5.4 版中的修补程序将 `path-reservations.js` 更新为使用与目标文件系统的行为例如 `NFKD`匹配的规范化形式具体而言后为 `toLocaleLowerCase('en')`再为 `toLocaleUpperCase(' en')`。
    对无法及时升级的用户以及以编程方式使用“node-tar”提取任意 tarball 数据的用户筛选出所有“SymbolicLink”条目如 npm 的变通方案以防止通过此文件系统条目名称进行任意文件写入冲突问题。 (CVE-2026-23950)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
306485	Atlassian Jira Service Management 5.15.2 < 10.3.18 / 10.4.0 < 11.3.3 (JSDSERVER-16530)	Nessus	Misc.	2026/4/15	2026/4/15	medium
301359	Amazon Linux 2023：nodejs20、nodejs20-devel、nodejs20-full-i18n (ALAS2023-2026-1464)	Nessus	Amazon Linux Local Security Checks	2026/3/6	2026/3/6	high
301342	Amazon Linux 2023 : nodejs22、nodejs22-devel、nodejs22-full-i18n (ALAS2023-2026-1465)	Nessus	Amazon Linux Local Security Checks	2026/3/6	2026/3/9	high
301345	Amazon Linux 2023nodejs24、nodejs24-devel、nodejs24-full-i18n (ALAS2023-2026-1466)	Nessus	Amazon Linux Local Security Checks	2026/3/6	2026/3/6	high
293776	Linux Distros 未修补的漏洞：CVE-2026-23950	Nessus	Misc.	2026/1/20	2026/2/19	medium

检测

插件搜索

medium

high

high

high

medium