远程主机上安装的 amazon-ecr-credential-helper 版本低于 0.12.0-1。因此，该 docker 受到 ALAS2NITRO-ENCLAVES-2026-095 公告中提及的多个漏洞的影响。

    url.Parse 未充分验证主机/颁发机构组件接受了一些无效的 URL。
    (CVE-2026-25679)

    在 Unix 平台上使用 File.ReadDir 或 File.Readdir 列出目录内容时返回的 FileInfo 可能引用打开文件的 Root 之外的文件。此转义的影响仅限于从文件系统上的任意位置读取由 lstat 提供的元数据不允许在根之外读取或写入文件。 (CVE-2026-27139)

    将 URL 插入 HTML 元标记的内容属性的操作未转义。如果 meta 标签也具有值为 refresh 的 http-equiv 属性则可允许 XSS。添加了新的 GODEBUG 设置 htmlmetacontenturlescape可用于在元内容属性中通过设置 htmlmetacontenturlescape=0 遵循 url= 的操作中禁用转义 URL。 (CVE-2026-27142)

Tenable 已直接从测试产品的安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

检测

Amazon Linux 2：amazon-ecr-credential-helper，--advisory ALAS2NITRO-ENCLAVES-2026-095 (ALASNITRO-ENCLAVES-2026-095)

medium Nessus 插件 ID 306274

版本 1.1