Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - node-tar 是一个适用于 Node.js 的全功能 Tar。在版本 7.5.7 和更低版本中使用默认选项时攻击者控制的存档可在指向提取根外部文件的提取目录内创建硬链接从而以提取用户的身份实现任意文件的读取和写入。严重性为“高危”因为原语绕过路径保护并将存档提取转换为直接文件系统访问原语。此问题已在 7.5.8 版本中修复。(CVE-2026-26960)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

因此，该软件受到 ALAS2023-2026-1484 公告中提及的多个漏洞影响。

    在 juligruber 大括号扩展至 1.1.11/2.0.1/3.0.0/4.0.0中发现一个漏洞。已将此漏洞评定为“有问题”。受此问题影响的是 index.js 文件的 function expand。操控会导致正则表达式复杂性低下。攻击者可远程执行攻击。攻击的复杂度相当高。已知很难实现此漏洞利用。该漏洞已被公开并可被使用。升级到版本 1.1.12、 2.0.2、 3.0.1 和 4.0.1 可解决此问题。
    修补程序的名称为 a5b98a4f30d7813266b221435e1eaaf25a1b0ac5。建议升级受影响的组件。(CVE-2025-5889)

    node-tar 是一个适用于 Node.js 的全功能 Tar。在版本 7.5.7 和更低版本中使用默认选项时攻击者控制的存档可在指向提取根外部文件的提取目录内创建硬链接从而以提取用户的身份实现任意文件的读取和写入。严重性为“高危”因为原语绕过路径保护并将存档提取转换为直接文件系统访问原语。此问题已在 7.5.8 版本中修复。(CVE-2026-26960)

    node-tar 是一个适用于 Node.js 的全功能 Tar。低于版本 7.5.10的情况下可诱骗 tar 创建通过使用 C:../target.txt 等驱动器相关链接目标指向提取目录外部的硬链接这可在正常 tar.x 期间在 cwd 之外覆盖文件。 () 提取。已在版本 7.5.10 中修补此问题。(CVE-2026-29786)

Tenable 已直接从测试产品的安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

因此，该软件受到 ALAS2023-2026-1483 公告中提及的多个漏洞影响。

    node-tar 是一个适用于 Node.js 的全功能 Tar。在版本 7.5.7 和更低版本中使用默认选项时攻击者控制的存档可在指向提取根外部文件的提取目录内创建硬链接从而以提取用户的身份实现任意文件的读取和写入。严重性为“高危”因为原语绕过路径保护并将存档提取转换为直接文件系统访问原语。此问题已在 7.5.8 版本中修复。(CVE-2026-26960)

    node-tar 是一个适用于 Node.js 的全功能 Tar。低于版本 7.5.10的情况下可诱骗 tar 创建通过使用 C:../target.txt 等驱动器相关链接目标指向提取目录外部的硬链接这可在正常 tar.x 期间在 cwd 之外覆盖文件。 () 提取。已在版本 7.5.10 中修补此问题。(CVE-2026-29786)

Tenable 已直接从测试产品的安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

因此，该软件受到 ALAS2023-2026-1578 公告中提及的多个漏洞影响。

    Node.js HTTP 请求处理中的缺陷在收到带有名为 __proto__ 的标头的请求且应用程序访问 req.headersDistinct 时可造成未捕获类型错误。

    发生这种情况时，dest[__proto__] 会解析为 Object.prototype，而非 undefined，从而导致在非数组中调用 .push()。此异常会在属性 getter 内同步抛出，并且无法被错误事件监听程序拦截，即若未将每个 req.headersDistinct 访问封装在 try/catch 中，便无法处理此异常。

    此漏洞会影响 20.x、 22.x、 24.x和 v25.x 中的所有 Node.js HTTP 服务器

    注意：https://nodejs.org/en/blog/vulnerability/march-2026-security-releases#denial-of-service-via-__proto__-header-name-in-reqheadersdistinct-uncaught-typeerror-crashes-nodejs-process-cve-2026-21710---high (CVE-2026-21710)

    Node.js URL 处理中的缺陷在使用包含无效字符的畸形国际化域名 (IDN) 调用 url.format() 时造成本机代码断言失败从而导致 Node.js 进程崩溃。

    此漏洞影响 24.x 和 25.x。

    注意：https://nodejs.org/en/blog/vulnerability/march-2026-security-releases#assertion-error-in-node_urlcc-via-malformed-url-format-leads-to-nodejs-crash-cve-2026-21712---medium (CVE-2026-21712)

    Node.js 中存在一个缺陷 HMAC 验证在验证用户提供的签名时使用非常量时间比较可能会泄露与匹配字节数成正比的计时信息。在某些可以进行高分辨率时序测量的威胁模型下攻击者可利用此行为作为时序预言来推断 HMAC 值。

    Node.js 已提供在代码库中别处使用的时序安全比较原语表明这是一种疏忽而非有意的设计决策。

    此漏洞影响 20.x、 22.x、 24.x和 25.x。

    注意 https://nodejs.org/en/blog/vulnerability/march-2026-security-releases#timing-side-channel-in-hmac-verification-via-memcmp-in-crypto_hmaccc-leads-to-potential-mac-forgery-cve-2026-21713---medium(CVE-2026-21713)

    客户端在流 0连接级别上发送 WINDOW_UPDATE 帧并导致流量控制窗口超过 231-1规定的最大值时Node.js HTTP/2 服务器中会发生内存泄露。服务器正确地发送了 GOAWAY 帧，但从未清除 Http2Session 对象。

    此漏洞会影响 Node.js 20、22、24 和 25 中的 HTTP2 用户。

    注意 https://nodejs.org/en/blog/vulnerability/march-2026-security-releases#memory-leak-in-nodejs-http2-server-via-window_update-on-stream-0-leads-to-resource-exhaustion-cve-2026-21714---medium(CVE-2026-21714)

    Node.js 权限模型文件系统执行中的缺陷使 fs.realpathSync.native() 缺少所需的读取权限检查而所有类似的文件系统函数都可以正确执行这些检查。因此以受限制 [ --permission 的 --allow-fs-read 下运行的代码仍可使用 fs.realpathSync.native() 检查文件存在性、解析符号链接目标以及枚举允许的目录之外的文件系统路径。此漏洞会影响 20.x、 22.x、使用权限模型的 24.x和 25.x 进程其中特意限制 --allow-fs-read 。

    注意：https://nodejs.org/en/blog/vulnerability/march-2026-security-releases#permission-model-bypass-in-realpathsyncnative-allows-file-existence-disclosure-cve-2026-21715---low (CVE-2026-21715)

    对 CVE-2024-36137 的修复不完整导致 Promise API 中的 FileHandle.chmod() 和 FileHandle.chown() 缺少必要的权限检查而它们基于回调的同等项fs.fchmod()、fs.fchown()已得到正确修补。

    因此在 --permission 下运行 --allow-fs-write 受限的代码仍可使用基于承诺的 FileHandle 方法修改已打开文件描述符上的文件权限和所有权从而绕过预期写入限制。

    此漏洞会影响使用特意限制 --allow-fs-write 的权限模型的 20.x、 22.x、 24.x和 25.x 进程。

    注意 https://nodejs.org/en/blog/vulnerability/march-2026-security-releases#cve-2024-36137-patch-bypass---filehandlechmodchown-cve-2026-21716---low (CVE-2026-21716)

    V8 字符串哈希机制中的一个缺陷可导致类似整数的字符串被哈希为其数值从而轻松预测哈希冲突。通过构建导致 V8 内部字符串表中发生很多此类冲突的请求攻击者会显着降低 Node.js 进程的性能。

    最常见的触发因素是对攻击者控制的输入调用 JSON.parse() 的任何端点，因为 JSON 解析会自动将短字符串内部化到受影响的哈希表中。

    此漏洞影响 20.x、 22.x、 24.x和 25.x。

    注意：https://nodejs.org/en/blog/vulnerability/march-2026-security-releases#hashdos-in-v8-cve-2026-21717---medium (CVE-2026-21717)

    node-tar 是一个适用于 Node.js 的全功能 Tar。在版本 7.5.7 和更低版本中使用默认选项时攻击者控制的存档可在指向提取根外部文件的提取目录内创建硬链接从而以提取用户的身份实现任意文件的读取和写入。严重性为“高危”因为原语绕过路径保护并将存档提取转换为直接文件系统访问原语。此问题已在 7.5.8 版本中修复。(CVE-2026-26960)

Tenable 已直接从测试产品的安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程的 Debian 11 主机安装了一个包，受 dla-4552 公告中提及的多个漏洞影响。

    ------------------------------------------------------------------------- Debian LTS 咨询 DLA-4552-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Daniel Leidert 2026年4月29日 https://wiki.debian.org/LTS-------------------------------------------------------------------------

    Package ： node-tar 版本 ： 6.0.5+ds1+~cs11.3.9-1+deb11u3 CVE ID ： CVE-2024-28863 CVE-2026-23745 CVE-2026-24842 CVE-2026-26960 CVE-2026-29786 CVE-2026-31802

    node-tar 是一个用于读写便携式 tar 档案的Node.js模块中发现了多个漏洞。

    CVE-2024-28863

       生成大量子文件夹可能会占用系统内存，甚至在包含过多子文件夹的路径上，几秒钟内导致Node.js客户端崩溃。

    CVE-2026-23745

       当 preservePaths 为假时，Link（硬链接）和 SymbolicLink 条目的链接路径无法净化，导致恶意压缩包绕过提取根限制，导致通过硬链接任意覆盖文件，以及通过绝对符号链接目标进行符号链接中毒。

       该问题的修复引入了以下多个漏洞。

    CVE-2026-24842

       硬链条目的安全检查允许攻击者构建恶意TAR归档，绕过路径穿越保护，创建指向解压目录外任意文件的硬链接。

    CVE-2026-26960

       攻击者控制的归档可以在提取目录内创建指向提取根以外的文件的硬链接，从而允许作为解压用户任意读写文件。

    CVE-2026-29786

       攻击者控制的归档可以通过使用驱动器相对链路目标创建指向提取目录之外的硬链路。

    CVE-2026-31802

       攻击者控制的归档可以通过使用驱动器相对链路目标创建指向提取目录之外的硬链路。


    对于 Debian 11 的 bullseye，这些问题在 +ds1+~cs11.3.9-1+deb11u3 版本中得到了修复 6.0.5。

    我们建议您升级您的node-tar套餐。

    有关node-tar的详细安全状态，请参阅其安全追踪页面：
    https://security-tracker.debian.org/tracker/node-tar

    有关 Debian LTS 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址: https://wiki.debian.org/LTSAttachment:signature.ascDescription: 此消息部分已经过数字签署

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
299677	Linux Distros 未修补的漏洞：CVE-2026-26960	Nessus	Misc.	2026/2/20	2026/4/29	high
304285	Amazon Linux 2023：nodejs20、nodejs20-devel、nodejs20-full-i18n (ALAS2023-2026-1484)	Nessus	Amazon Linux Local Security Checks	2026/3/30	2026/3/31	high
304295	Amazon Linux 2023 : nodejs22、nodejs22-devel、nodejs22-full-i18n (ALAS2023-2026-1483)	Nessus	Amazon Linux Local Security Checks	2026/3/30	2026/3/30	high
306235	Amazon Linux 2023 : nodejs24、nodejs24-devel、nodejs24-full-i18n (ALAS2023-2026-1578)	Nessus	Amazon Linux Local Security Checks	2026/4/13	2026/4/13	high
310898	Debian dla-4552 ： node-tar - 安全更新	Nessus	Debian Local Security Checks	2026/4/29	2026/4/29	high

检测

插件搜索

high

high

high

high

high