There are packages installed that are affected by a vulnerability referenced in the following CVE:

  - BentoML is a Python library for building online serving systems optimized for AI apps and model inference.
    Prior to version 1.4.34, BentoML's `bentofile.yaml` configuration allows path traversal attacks through
    multiple file path fields (`description`, `docker.setup_script`, `docker.dockerfile_template`,
    `conda.environment_yml`). An attacker can craft a malicious bentofile that, when built by a victim,
    exfiltrates arbitrary files from the filesystem into the bento archive. This enables supply chain attacks
    where sensitive files (SSH keys, credentials, environment variables) are silently embedded in bentos and
    exposed when pushed to registries or deployed. Version 1.4.34 contains a patch for the issue.
    (CVE-2026-24123)

遠端主機上安裝的 BentoML 程式庫版本比 1.4.34舊。因此，該應用程式受到路徑遊走弱點影響：

  - BentoML 的 bentofile.yaml 組態允許透過多個檔案路徑欄位 (description、docker.setup_script、docker.dockerfile_template、conda.environment_yml) 發動路徑遊走攻擊。攻擊者可特製一個惡意的 bentofile當受害者建立此檔案時會將任意檔案從檔案系統洩漏至 bento 封存中。這會啟用供應鏈攻擊其中敏感檔案 (SSH 金鑰、認證、環境變數) 會以無訊息的方式內嵌在 bentos 中並在推送至登錄檔或部署時洩漏。 (CVE-2026-24123)

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

远程主机上安装的 BentoML 库版本低于 1.4.34。因此，该应用程序受到路径遍历漏洞的影响：

  - BentoML 的 Bentofile.yaml 配置允许通过多个文件路径字段description、docker.setup_script、docker.dockerfile_template、conda.environment_yml进行路径遍历攻击。攻击者可构建恶意 Bentofile当受害者构建该文件时可将任意文件从文件系统泄露到 Bento 存档中。这使得供应链攻击能够将敏感文件（SSH 密钥、凭据、环境变量）静默地嵌入 bentos 中，并在推送到注册表或部署时暴露。 (CVE-2026-24123)

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

リモートホストにインストールされている BentoML ライブラリのバージョンは、 1.4.34より前の です。したがって、パストラバーサルの脆弱性による以下の影響を受けます。

  - BentoML の Bentofile.yaml 構成により、複数のファイルパスフィールドdescription、docker.setup_script、docker.dockerfile_template、conda.environment_ymlを通じたパストラバーサル攻撃が可能です。攻撃者は、被害者によって構築されたとき、任意のファイルをファイルシステムからbenentアーカイブに抽出する悪意のあるbentofileを作成する可能性があります。これにより、機密ファイル (SSH キー、認証情報、環境変数) がサイレントに Bent に組み込まれ、レジストリにプッシュまたは展開されたときに漏洩するサプライチェーン攻撃が可能になります。CVE-2026-24123

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

The version of the BentoML library installed on the remote host is prior to 1.4.34. It is, therefore, affected by a path traversal vulnerability:

  - BentoML's bentofile.yaml configuration allows path traversal attacks through multiple file path     fields (description, docker.setup_script, docker.dockerfile_template, conda.environment_yml). An     attacker can craft a malicious bentofile that, when built by a victim, exfiltrates arbitrary files     from the filesystem into the bento archive. This enables supply chain attacks where sensitive files     (SSH keys, credentials, environment variables) are silently embedded in bentos and exposed when     pushed to registries or deployed. (CVE-2026-24123)

Note that Nessus has not tested for this issue but has instead relied only on the application's self-reported version number.

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
437381	SCA: security update for bentoml (GHSA-6r62-w2q3-48hf)	Tenable Cloud Security	SCA Checks	2026/1/29	2026/7/2	medium
437381	SCA: security update for bentoml (GHSA-6r62-w2q3-48hf)	Tenable Self-Hosted Container Security	SCA Checks	2026/1/29	2026/7/2	medium
298466	BentoML < 1.4.34 路徑遊走	Nessus	Artificial Intelligence	2026/2/10	2026/2/11	medium
298466	BentoML < 1.4.34 路径遍历	Nessus	Artificial Intelligence	2026/2/10	2026/2/11	medium
298466	BentoML < 1.4.34 パストラバーサル	Nessus	Artificial Intelligence	2026/2/10	2026/2/11	medium
298466	BentoML < 1.4.34 Path Traversal	Nessus	Artificial Intelligence	2026/2/10	2026/2/11	medium

检测

插件搜索

medium

medium

medium

medium

medium

medium