There are packages installed that are affected by a vulnerability referenced in the following CVE:

  - go-tuf is a Go implementation of The Update Framework (TUF). go-tuf's TAP 4 Multirepo Client uses the map
    file repository name string (`repoName`) as a filesystem path component when selecting the local metadata
    cache directory. Starting in version 2.0.0 and prior to version 2.4.1, if an application accepts a map
    file from an untrusted source, an attacker can supply a `repoName` containing traversal (e.g.,
    `../escaped-repo`) and cause go-tuf to create directories and write the root metadata file outside the
    intended `LocalMetadataDir` cache base, within the running process's filesystem permissions. Version 2.4.1
    contains a patch. (CVE-2026-24686)

因此，會受到 ALAS2023-2026-1507 公告中所提及的多個弱點影響。

    Fulcio 是一種憑證授權單位針對 OpenID Connect (OIDC) 身分發出程式碼簽署憑證。在 1.8.5之前的版本中Fulcio 的 metaRegex() 函式使用未錨定的 regex進而允許攻擊者繞過 MetaIssuer URL 驗證並觸發 SSRF 進入任意內部服務。由於 SSRF 只能觸發 GET 要求因此要求無法變動狀態。GET 要求的回應並未傳回給呼叫者因此不可能發生資料洩漏。惡意執行者可嘗試透過 Blind SSRF 探查內部網路。此弱點已在 1.8.5 中修復。(CVE-2026-22772)

    sigstore 架構是跨 sigstore 服務和用戶端共用的通用 go 程式庫。在 1.10.3 及之前的版本中舊版 TUF 用戶端 (pkg/tuf/client.go) 支援將目標檔案快取至磁碟。它藉由加入具有源自已簽署目標詮釋資料之目標名稱的快取基礎目錄來建構檔案系統路徑不過它不會驗證產生的路徑是否保留在快取基底目錄中。惡意的 TUF 存放庫可觸發任意檔案覆寫受限於呼叫處理程序所擁有的權限。請注意這只會影響直接在 sigstore/sigstore 中使用 TUF 用戶端或使用舊版 Cosign 的用戶端。公用 Sigstore 部署使用者不會受到影響因為 TUF 詮釋資料是由受信任協作者的仲裁所驗證。1.10.4 版已修正此問題。因應措施為使用者可在環境中設定 SIGSTORE_NO_CACHE=true 來停用舊版用戶端的磁碟快取移轉至 https://github.com/sigstore/sigstore-go/tree/main/pkg/tuf版或升級至最新的 sigstore/sigstore 版本。 (CVE-2026-24137)

    go-tuf 是 The Update Framework (TUF) 的 Go 實作。選取本機詮釋資料快取目錄時go-tuf 的 TAP 4 Multirepo 用戶端使用對應檔案存放庫名稱字串 (`repoName`) 作為檔案系統路徑元件。從 2.0.0 版及其之前的 2.4.1版開始如果應用程式接受來自未受信任來源的對應檔案攻擊者就可提供含有遊走項目的「repoName」(例如「../escaped-repo」)並造成 go- tuf 建立目錄並在預定 `LocalMetadataDir` 快取基底之外 (在執行中處理程序的檔案系統權限內) 寫入 root 詮釋資料檔案。版本 2.4.1 包含一個修補程式。 (CVE-2026-24686)

    url.Parse 對 host/authority 元件的驗證不足且接受某些無效的 URL。
    (CVE-2026-25679)

    在 Unix 平台上當列出使用 File.ReadDir 或 File.Readdir 的目錄內容時傳回的 FileInfo 可參照開啟檔案的 Root 以外的檔案。此逸出的影響僅限於從檔案系統上的任意位置讀取 lstat 提供的詮釋資料而不允許在 root 外讀取或寫入檔案。 (CVE-2026-27139)

    將 URL 插入 HTML 中繼標籤內容屬性的動作不會逸出。如果中繼標籤也具有值為 refresh 的 http-equiv 屬性這可允許 XSS。已新增 GODEBUG 新設定 htmlmetacontenturlescape其可用來透過設定 htmlmetacontenturlescape=0在 url= 之後的中繼內容屬性中停用動作中的逸出 URL。 (CVE-2026-27142)

Tenable 已直接從所測試產品的安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

因此，该软件受到 ALAS2023-2026-1507 公告中提及的多个漏洞影响。

    Fulcio 是一个证书颁发机构，用于为 OpenID Connect (OIDC) 身份颁发代码签名证书。在在 1.8.5版本中Fulcio 的 metaRegex() 函数使用未锚定的 regex允许攻击者绕过 MetaIssuer URL 验证并触发前往任意内部服务的 SSRF。由于 SSRF 只能触发 GET 请求因此该请求无法改变状态。来自 GET 请求的响应不会返回给调用程序因此无法发生数据外泄。恶意执行者可尝试通过 Blind SSRF 探测内部网络。此漏洞已在 1.8.5 中修复。(CVE-2026-22772)

    sigstore 框架 是在 sigstore 服务和客户端之间共享的通用 go 库。在 1.10.3 及更低版本中旧 TUF 客户端 (pkg/tuf/client.go) 支持将目标文件缓存到磁盘。通过加入缓存基本目录与源自已签名目标元数据的目标名称进而构建文件系统路径但是，它不会验证结果路径是否保留在缓存基本目录中。恶意 TUF 存储库可触发任意文件覆盖仅限调用进程具有的权限。请注意这应仅影响直接在 sigstore/sigstore 中使用 TUF 客户端或使用较旧版本 Cosign 的客户端。公共 Sigstore 部署用户不受影响因为 TUF 元数据由一部分受信任的协作者进行验证。此问题已在 1.10.4 版本中修复。作为变通方案用户可通过在 环境中设置 SIGSTORE_NO_CACHE=true 来禁用旧客户端的磁盘缓存进而迁移到 https://github.com/sigstore/sigstore-go/tree/main/pkg/tuf或升级到最新 sigstore/sigstore 版本。 (CVE-2026-24137)

    go-tuf 是 The Update Framework (TUF) 的 Go 实现。选择本地元数据缓存目录时go-tuf 的 TAP 4 Multirepo 客户端使用映射文件存储库名称字符串 (`repoName`) 作为文件系统路径组件。从 版本 2.0.0 到低于 2.4.1的版本如果应用程序接受来自不受信任来源的映射文件攻击者可提供包含遍历的 `repoName`例如 `../escaped-repo`并造成 go- tuf在运行进程的文件系统权限内预期的“LocalMetadataDir”缓存库之外创建目录并写入根元数据文件。版本 2.4.1 包含修补程序。 (CVE-2026-24686)

    url.Parse 未充分验证主机/颁发机构组件接受了一些无效的 URL。
    (CVE-2026-25679)

    在 Unix 平台上使用 File.ReadDir 或 File.Readdir 列出目录内容时返回的 FileInfo 可能引用打开文件的 Root 之外的文件。此转义的影响仅限于从文件系统上的任意位置读取由 lstat 提供的元数据不允许在根之外读取或写入文件。 (CVE-2026-27139)

    将 URL 插入 HTML 元标记的内容属性的操作未转义。如果 meta 标签也具有值为 refresh 的 http-equiv 属性则可允许 XSS。添加了新的 GODEBUG 设置 htmlmetacontenturlescape可用于在元内容属性中通过设置 htmlmetacontenturlescape=0 遵循 url= 的操作中禁用转义 URL。 (CVE-2026-27142)

Tenable 已直接从测试产品的安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且供應商未提供可用的修補程式。

  - go-tuf 是 The Update Framework (TUF) 的 Go 實作。選取本機詮釋資料快取目錄時go-tuf 的 TAP 4 Multirepo 用戶端使用對應檔案存放庫名稱字串 (`repoName`) 作為檔案系統路徑元件。從 2.0.0 版及其之前的 2.4.1版開始如果應用程式接受來自未受信任來源的對應檔案攻擊者就可提供含有遊走項目的「repoName」(例如「../escaped-repo」)並造成 go- tuf 建立目錄並在預定 `LocalMetadataDir` 快取基底之外 (在執行中處理程序的檔案系統權限內) 寫入 root 詮釋資料檔案。版本 2.4.1 包含一個修補程式。 (CVE-2026-24686)

請注意，Nessus 的判定取決於廠商所報告的套件是否存在。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - go-tuf 是 The Update Framework (TUF) 的 Go 实现。选择本地元数据缓存目录时go-tuf 的 TAP 4 Multirepo 客户端使用映射文件存储库名称字符串 (`repoName`) 作为文件系统路径组件。从 版本 2.0.0 到低于 2.4.1的版本如果应用程序接受来自不受信任来源的映射文件攻击者可提供包含遍历的 `repoName`例如 `../escaped-repo`并造成 go- tuf在运行进程的文件系统权限内预期的“LocalMetadataDir”缓存库之外创建目录并写入根元数据文件。版本 2.4.1 包含修补程序。 (CVE-2026-24686)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

リモートの Fedora 44 ホストには、FEDORA-2026-6b87863841 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    アップストリームリリース 2.98.0。 https://github.com/jfrog/jfrog-cli/releases/tag/v2.98.0

    以下のセキュリティ問題を解決します:
    CVE-2025-11579 CVE-2025-66564 CVE-2026-23831 CVE-2026-23991 CVE-2026-23992 CVE-2026-24117 CVE-2026-24137 CVE-2026-24686 CVE-2026-32285 CVE-2026-33762 CVE-2026-34165 CVE-2026-34986

Tenable は、前述の記述ブロックを Fedora セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートの Fedora 42 ホストには、FEDORA-2026-de52e7caa1 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    2.87.3 に更新してください

Tenable は、前述の記述ブロックを Fedora セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートの Fedora 43 ホストには、FEDORA-2026-21a2f3709a のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    2.87.0 に更新してください



Tenable は、前述の記述ブロックを Fedora セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - go-tuf は The Update FrameworkTUFの Go 実装です。 go-tuf の TAP 4 Multirepo Client は、ローカルメタデータキャッシュディレクトリを選択する際に、ファイルシステムパスコンポーネントとしてマップファイルリポジトリ名の文字列「repoName」を使用します。バージョン 2.0.0 からバージョン 2.4.1より前のバージョンでは、アプリケーションが信頼できないソースからのマップファイルを受け入れる場合、攻撃者はトラバーサルを含む「repoName」を提供し「../ecaped-repo」などのサービス拒否を引き起こし、 tuf は、ディレクトリを作成し、意図されている「LocalMetadataDir」キャッシュベース外で、実行中のプロセスのファイルシステム権限内で、root メタデータファイルを書き込みます。バージョン 2.4.1 にはパッチが含まれています。(CVE-2026-24686)

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

したがって、ALAS2023-2026-1507 のアドバイザリに記載されている複数の脆弱性の影響を受けます。

    Fulcio は、OpenID Connect (OIDC) ID 用にコード署名証明書を発行する認証局です。 1.8.5より前では、Fulcio の metaRegex() 関数は、アンカーされていない正規表現を使用しており、攻撃者は MetaIssuer URL 検証をバイパスすることや、任意の内部サービスに対して SSRF を発生することができます。SSRF は GET リクエストのみをトリガーできるため、リクエストは状態を変化させることができません。GET リクエストからの応答が呼び出し側に返されないため、データの抽出が可能ではありません。悪意のある攻撃者が、Blind SSRF を通じて内部ネットワークをプローブしようとする可能性があります。この脆弱性は 1.8.5 で修正されました。(CVE-2026-22772)

    sigstore framework は、sigstore サービスおよびクライアント全体で共有される共通の go ライブラリです。バージョン 1.10.3 およびそれ以前では、レガシー TUF クライアントpkg/tuf/client.goは、ディスクへのターゲットファイルのキャッシュをサポートします。署名付きのターゲットメタデータからソースされたターゲット名を伴うキャッシュベースディレクトリを結合することで、ファイルシステムパスを構築します。ただし、結果のパスがキャッシュベースディレクトリ内に留まることは検証されません。悪意のある TUF リポジトリは、呼び出しプロセスが持つ権限に限定された、任意のファイルの上書きを発生させる可能性があります。これは、sigstore/sigstore の TUF クライアントを直接使用しているか、古いバージョンの Cosign を使用しているクライアントにのみ影響します。TUF メタデータは信頼できるコラボレーターの定足数によって検証されるため、パブリック Sigstore デプロイメントユーザーは影響を受けません。この問題はバージョン 1.10.4で修正されています。回避策として、ユーザーは、環境で SIGSTORE_NO_CACHE=true を設定することでレガシークライアントのディスクキャッシングを無効にするか、 https://github.com/sigstore/sigstore-go/tree/main/pkg/tufに移行するか、最新の sigstore/sigstore リリースにアップグレードすることができます。CVE-2026-24137

    go-tuf は Update FrameworkTUFの Go 実装です。 go-tuf の TAP 4 Multirepo Client は、ローカルメタデータキャッシュディレクトリを選択する際に、ファイルシステムパスコンポーネントとしてマップファイルリポジトリ名の文字列「repoName」を使用します。バージョン 2.0.0 からバージョン 2.4.1より前のバージョンでは、アプリケーションが信頼できないソースからのマップファイルを受け入れる場合、攻撃者はトラバーサルを含む「repoName」を提供し「../ecaped-repo」などのサービス拒否を引き起こし、 tuf は、ディレクトリを作成し、意図されている「LocalMetadataDir」キャッシュベース外で、実行中のプロセスのファイルシステム権限内で、root メタデータファイルを書き込みます。バージョン 2.4.1 にはパッチが含まれています。(CVE-2026-24686)

    url.Parse は、ホスト/権限コンポーネントの検証が不十分なため、一部の無効な URL を許容していました。
    (CVE-2026-25679)

    Unix プラットフォームで、File.ReadDir または File.Readdir を使用してディレクトリのコンテンツをリストする際、返された FileInfo が、File が開かれた Root 外部のファイルを参照する可能性があります。このエスケープの影響は、root外でのファイルの読み書きを許可することなく、ファイルシステムの任意の場所からlstatによって提供されるメタデータを読み取ることに限定されます。CVE-2026-27139

    HTML メタタグのコンテンツ属性に URL を挿入するアクションはエスケープされません。これにより、メタタグに値が更新される http-equiv 属性もある場合に、XSS が許可される可能性があります。新しい GODEBUG 設定である htmlmetacontenturlescape が追加されました。これを使用すると、htmlmetacontenturlescape=0 を設定することで、url= に従うメタコンテンツ属性のアクションで、URL のエスケープを無効化できます。CVE-2026-27142

Tenable は、前述の記述ブロックをテスト済み製品のセキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

The remote Fedora 43 host has a package installed that is affected by multiple vulnerabilities as referenced in the FEDORA-2026-21a2f3709a advisory.

    Update to 2.87.0



Tenable has extracted the preceding description block directly from the Fedora security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

It is, therefore, affected by multiple vulnerabilities as referenced in the ALAS2023-2026-1507 advisory.

    Fulcio is a certificate authority for issuing code signing certificates for an OpenID Connect (OIDC)     identity. Prior to 1.8.5, Fulcio's metaRegex() function uses unanchored regex, allowing attackers to     bypass MetaIssuer URL validation and trigger SSRF to arbitrary internal services. Since the SSRF only can     trigger GET requests, the request cannot mutate state. The response from the GET request is not returned     to the caller so data exfiltration is not possible. A malicious actor could attempt to probe an internal     network through Blind SSRF. This vulnerability is fixed in 1.8.5. (CVE-2026-22772)

    sigstore framework is a common go library shared across sigstore services and clients. In versions 1.10.3     and below, the legacy TUF client (pkg/tuf/client.go) supports caching target files to disk. It constructs     a filesystem path by joining a cache base directory with a target name sourced from signed target     metadata; however, it does not validate that the resulting path stays within the cache base directory. A     malicious TUF repository can trigger arbitrary file overwriting, limited to the permissions that the     calling process has. Note that this should only affect clients that are directly using the TUF client in     sigstore/sigstore or are using an older version of Cosign. Public Sigstore deployment users are     unaffected, as TUF metadata is validated by a quorum of trusted collaborators. This issue has been fixed     in version 1.10.4. As a workaround, users can disable disk caching for the legacy client by setting     SIGSTORE_NO_CACHE=true in the environment, migrate to https://github.com/sigstore/sigstore-     go/tree/main/pkg/tuf, or upgrade to the latest sigstore/sigstore release. (CVE-2026-24137)

    go-tuf is a Go implementation of The Update Framework (TUF). go-tuf's TAP 4 Multirepo Client uses the map     file repository name string (`repoName`) as a filesystem path component when selecting the local metadata     cache directory. Starting in version 2.0.0 and prior to version 2.4.1, if an application accepts a map     file from an untrusted source, an attacker can supply a `repoName` containing traversal (e.g.,     `../escaped-repo`) and cause go-tuf to create directories and write the root metadata file outside the     intended `LocalMetadataDir` cache base, within the running process's filesystem permissions. Version 2.4.1     contains a patch. (CVE-2026-24686)

    url.Parse insufficiently validated the host/authority component and accepted some invalid URLs.
    (CVE-2026-25679)

    On Unix platforms, when listing the contents of a directory using File.ReadDir or File.Readdir the     returned FileInfo could reference a file outside of the Root in which the File was opened. The impact of     this escape is limited to reading metadata provided by lstat from arbitrary locations on the filesystem     without permitting reading or writing files outside the root. (CVE-2026-27139)

    Actions which insert URLs into the content attribute of HTML meta tags are not escaped. This can allow XSS     if the meta tag also has an http-equiv attribute with the value refresh. A new GODEBUG setting has been     added, htmlmetacontenturlescape, which can be used to disable escaping URLs in actions in the meta content     attribute which follow url= by setting htmlmetacontenturlescape=0. (CVE-2026-27142)

Tenable has extracted the preceding description block directly from the tested product security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

The Linux/Unix host has one or more packages installed that are impacted by a vulnerability without a vendor supplied patch available.

  - go-tuf is a Go implementation of The Update Framework (TUF). go-tuf's TAP 4 Multirepo Client uses the map     file repository name string (`repoName`) as a filesystem path component when selecting the local metadata     cache directory. Starting in version 2.0.0 and prior to version 2.4.1, if an application accepts a map     file from an untrusted source, an attacker can supply a `repoName` containing traversal (e.g.,     `../escaped-repo`) and cause go-tuf to create directories and write the root metadata file outside the     intended `LocalMetadataDir` cache base, within the running process's filesystem permissions. Version 2.4.1     contains a patch. (CVE-2026-24686)

Note that Nessus relies on the presence of the package as reported by the vendor.

The remote Fedora 44 host has a package installed that is affected by multiple vulnerabilities as referenced in the FEDORA-2026-6b87863841 advisory.

    Upstream release 2.98.0. https://github.com/jfrog/jfrog-cli/releases/tag/v2.98.0

    Resolves the following security issues:
    CVE-2025-11579     CVE-2025-66564     CVE-2026-23831     CVE-2026-23991     CVE-2026-23992     CVE-2026-24117     CVE-2026-24137     CVE-2026-24686     CVE-2026-32285     CVE-2026-33762     CVE-2026-34165     CVE-2026-34986

Tenable has extracted the preceding description block directly from the Fedora security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

The remote Fedora 42 host has a package installed that is affected by multiple vulnerabilities as referenced in the FEDORA-2026-de52e7caa1 advisory.

    Update to 2.87.3

Tenable has extracted the preceding description block directly from the Fedora security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
437371	SCA: security update for github.com/theupdateframework/go-tuf/v2 (GHSA-jqc5-w2xx-5vq4)	Tenable Self-Hosted Container Security	SCA Checks	2026/1/29	2026/7/2	medium
437371	SCA: security update for github.com/theupdateframework/go-tuf/v2 (GHSA-jqc5-w2xx-5vq4)	Tenable Cloud Security	SCA Checks	2026/1/29	2026/7/2	medium
304588	Amazon Linux 2023：runfinch-finch (ALAS2023-2026-1507)	Nessus	Amazon Linux Local Security Checks	2026/4/1	2026/4/30	medium
304588	Amazon Linux 2023：runfinch-finch (ALAS2023-2026-1507)	Nessus	Amazon Linux Local Security Checks	2026/4/1	2026/4/30	medium
296739	Linux Distros 未修補的弱點：CVE-2026-24686	Nessus	Misc.	2026/1/27	2026/5/29	medium
296739	Linux Distros 未修补的漏洞：CVE-2026-24686	Nessus	Misc.	2026/1/27	2026/5/29	medium
311385	Fedora 44 : jfrog-cli (2026-6b87863841)	Nessus	Fedora Local Security Checks	2026/5/1	2026/5/1	high
301422	Fedora 42gh2026-de52e7caa1	Nessus	Fedora Local Security Checks	2026/3/7	2026/3/7	high
300473	Fedora 43gh2026-21a2f3709a	Nessus	Fedora Local Security Checks	2026/3/3	2026/3/3	high
296739	Linux Distros のパッチ未適用の脆弱性: CVE-2026-24686	Nessus	Misc.	2026/1/27	2026/5/29	medium
304588	Amazon Linux 2023 : runfinch-finch (ALAS2023-2026-1507)	Nessus	Amazon Linux Local Security Checks	2026/4/1	2026/4/30	medium
300473	Fedora 43 : gh (2026-21a2f3709a)	Nessus	Fedora Local Security Checks	2026/3/3	2026/3/3	high
304588	Amazon Linux 2023 : runfinch-finch (ALAS2023-2026-1507)	Nessus	Amazon Linux Local Security Checks	2026/4/1	2026/4/30	medium
296739	Linux Distros Unpatched Vulnerability : CVE-2026-24686	Nessus	Misc.	2026/1/27	2026/5/29	medium
311385	Fedora 44 : jfrog-cli (2026-6b87863841)	Nessus	Fedora Local Security Checks	2026/5/1	2026/5/1	high
301422	Fedora 42 : gh (2026-de52e7caa1)	Nessus	Fedora Local Security Checks	2026/3/7	2026/3/7	high

检测

插件搜索

medium

medium

medium

medium

medium

medium

high

high

high

medium

medium

high

medium

medium

high

high