因此，该软件受到 ALAS2023-2026-1484 公告中提及的多个漏洞影响。

    在 juligruber 大括号扩展至 1.1.11/2.0.1/3.0.0/4.0.0中发现一个漏洞。已将此漏洞评定为“有问题”。受此问题影响的是 index.js 文件的 function expand。操控会导致正则表达式复杂性低下。攻击者可远程执行攻击。攻击的复杂度相当高。已知很难实现此漏洞利用。该漏洞已被公开并可被使用。升级到版本 1.1.12、 2.0.2、 3.0.1 和 4.0.1 可解决此问题。
    修补程序的名称为 a5b98a4f30d7813266b221435e1eaaf25a1b0ac5。建议升级受影响的组件。(CVE-2025-5889)

    node-tar 是一个适用于 Node.js 的全功能 Tar。在版本 7.5.7 和更低版本中使用默认选项时攻击者控制的存档可在指向提取根外部文件的提取目录内创建硬链接从而以提取用户的身份实现任意文件的读取和写入。严重性为“高危”因为原语绕过路径保护并将存档提取转换为直接文件系统访问原语。此问题已在 7.5.8 版本中修复。(CVE-2026-26960)

    node-tar 是一个适用于 Node.js 的全功能 Tar。低于版本 7.5.10的情况下可诱骗 tar 创建通过使用 C:../target.txt 等驱动器相关链接目标指向提取目录外部的硬链接这可在正常 tar.x 期间在 cwd 之外覆盖文件。 () 提取。已在版本 7.5.10 中修补此问题。(CVE-2026-29786)

Tenable 已直接从测试产品的安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程主机上安装的 node-tar 版本低于 7.5.10。因此，该应用程序会受到漏洞的影响：

  - node-tar 是一款功能齐全的 Node.js Tar。在 7.5.10 版本之前，tar 可能被诱导创建指向解压目录外部的硬链接。攻击者可通过使用 C:../target.txt 等驱动器相对路径的硬链接目标，允许在正常 tar.x() 提取期间在 cwd 外部进行文件覆盖。已在版本 7.5.10 中修补此问题。(CVE-2026-29786)

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

因此，该软件受到 ALAS2023-2026-1483 公告中提及的多个漏洞影响。

    node-tar 是一个适用于 Node.js 的全功能 Tar。在版本 7.5.7 和更低版本中使用默认选项时攻击者控制的存档可在指向提取根外部文件的提取目录内创建硬链接从而以提取用户的身份实现任意文件的读取和写入。严重性为“高危”因为原语绕过路径保护并将存档提取转换为直接文件系统访问原语。此问题已在 7.5.8 版本中修复。(CVE-2026-26960)

    node-tar 是一个适用于 Node.js 的全功能 Tar。低于版本 7.5.10的情况下可诱骗 tar 创建通过使用 C:../target.txt 等驱动器相关链接目标指向提取目录外部的硬链接这可在正常 tar.x 期间在 cwd 之外覆盖文件。 () 提取。已在版本 7.5.10 中修补此问题。(CVE-2026-29786)

Tenable 已直接从测试产品的安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

因此，该软件受到 ALAS2023-2026-1609 公告中提及的多个漏洞影响。

    @isaacs/brace-expansion 是 brace-expansion 的混合型 CJS/ESM TypeScript 分支。在版本 5.0.1之前，@isaacs/加护扩展易受无界加护范围扩展引起的拒绝服务（DoS）问题影响。当攻击者提供包含重复数字括号范围的模式时，库会尝试同步生成所有可能的组合。由于扩展呈指数增长，即使是小输入也可能消耗过多的CPU和内存，可能导致Node.js进程崩溃。
    已在版本 5.0.1 中修补此问题。(CVE-2026-25547)

    ZLIB中发现了一个缺陷。攻击者若为crc32_combine64或crc32_combine_gen64函数提供特别输入，可能会在x2nmodp函数中触发无限循环。这导致CPU消耗过高，可能导致受影响系统遭遇拒绝服务（DoS）。
    (CVE-2026-27171)

    node-tar 是功能齐全的 Tar for Node.js。在版本 7.5.10之前，tar 可以通过使用驱动器相对链接目标（如 C：.）被欺骗，创建指向提取目录之外的硬链路。/target.txt，该功能允许在正常的tar.x（）解压时，在cwd之外覆盖文件。已在版本 7.5.10 中修补此问题。(CVE-2026-29786)

Tenable 已直接从测试产品的安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程主机上运行的 Atlassian Jira Service Management Data Center and Server （Jira Service Desk） 版本受到 JSDSERVER-16575 公告中提及的漏洞影响。

  - 此文件包含漏洞允许未经认证的攻击者使应用程序显示本地文件的内容，或者执行服务器上已本地存储的其他文件。（CVE-2026-29786）

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

远程的 Debian 11 主机安装了一个包，受 dla-4552 公告中提及的多个漏洞影响。

    ------------------------------------------------------------------------- Debian LTS 咨询 DLA-4552-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Daniel Leidert 2026年4月29日 https://wiki.debian.org/LTS-------------------------------------------------------------------------

    Package ： node-tar 版本 ： 6.0.5+ds1+~cs11.3.9-1+deb11u3 CVE ID ： CVE-2024-28863 CVE-2026-23745 CVE-2026-24842 CVE-2026-26960 CVE-2026-29786 CVE-2026-31802

    node-tar 是一个用于读写便携式 tar 档案的Node.js模块中发现了多个漏洞。

    CVE-2024-28863

       生成大量子文件夹可能会占用系统内存，甚至在包含过多子文件夹的路径上，几秒钟内导致Node.js客户端崩溃。

    CVE-2026-23745

       当 preservePaths 为假时，Link（硬链接）和 SymbolicLink 条目的链接路径无法净化，导致恶意压缩包绕过提取根限制，导致通过硬链接任意覆盖文件，以及通过绝对符号链接目标进行符号链接中毒。

       该问题的修复引入了以下多个漏洞。

    CVE-2026-24842

       硬链条目的安全检查允许攻击者构建恶意TAR归档，绕过路径穿越保护，创建指向解压目录外任意文件的硬链接。

    CVE-2026-26960

       攻击者控制的归档可以在提取目录内创建指向提取根以外的文件的硬链接，从而允许作为解压用户任意读写文件。

    CVE-2026-29786

       攻击者控制的归档可以通过使用驱动器相对链路目标创建指向提取目录之外的硬链路。

    CVE-2026-31802

       攻击者控制的归档可以通过使用驱动器相对链路目标创建指向提取目录之外的硬链路。


    对于 Debian 11 的 bullseye，这些问题在 +ds1+~cs11.3.9-1+deb11u3 版本中得到了修复 6.0.5。

    我们建议您升级您的node-tar套餐。

    有关node-tar的详细安全状态，请参阅其安全追踪页面：
    https://security-tracker.debian.org/tracker/node-tar

    有关 Debian LTS 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址: https://wiki.debian.org/LTSAttachment:signature.ascDescription: 此消息部分已经过数字签署

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - node-tar 是一个适用于 Node.js 的全功能 Tar。低于版本 7.5.10的情况下可诱骗 tar 创建通过使用 C:../target.txt 等驱动器相关链接目标指向提取目录外部的硬链接这可在正常 tar.x 期间在 cwd 之外覆盖文件。 () 提取。已在版本 7.5.10 中修补此问题。(CVE-2026-29786)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
304285	Amazon Linux 2023：nodejs20、nodejs20-devel、nodejs20-full-i18n (ALAS2023-2026-1484)	Nessus	Amazon Linux Local Security Checks	2026/3/30	2026/3/31	high
318797	Node.js 模块 node-tar < 7.5.10 任意文件覆盖	Nessus	Misc.	2026/6/5	2026/6/8	high
304295	Amazon Linux 2023 : nodejs22、nodejs22-devel、nodejs22-full-i18n (ALAS2023-2026-1483)	Nessus	Amazon Linux Local Security Checks	2026/3/30	2026/3/30	high
311307	Amazon Linux 2023 : nodejs24、nodejs24-devel、nodejs24-full-i18n (ALAS2023-2026-1609)	Nessus	Amazon Linux Local Security Checks	2026/4/30	2026/4/30	critical
316963	Atlassian Jira Service Management Data Center and Server 5.15.2 < 10.3.18 / 10.4.0 < 11.3.5 （JSDSERVER-16575）	Nessus	Misc.	2026/5/27	2026/5/28	high
310898	Debian dla-4552 ： node-tar - 安全更新	Nessus	Debian Local Security Checks	2026/4/29	2026/4/29	high
301465	Linux Distros 未修补的漏洞：CVE-2026-29786	Nessus	Misc.	2026/3/7	2026/8/2	high

检测

插件搜索

high

high

high

critical

high

high

high