Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - basic-ftp は Node.js 用の FTP クライアントです。 5.2.1より前では、basic-ftp により、cd()、remove()、rename()、uploadFrom()、downloadTo() などの高レベルのパス API に渡されるファイルパスパラメーターの CRLF シーケンス\r\nを介して FTP コマンドインジェクションが可能です。 、list()、および removeDir() を実行します。ライブラリの protectWhitespace() ヘルパーは先行する空白を処理し、他のパスを変更せずに返しますが、FtpContext.send() は結果のコマンド文字列を \r\n が追加された状態でコントロールソケットに直接書き込みます。これにより、攻撃者が制御するパス文字列が、1つの意図されたFTPコマンドを複数のコマンドに分割する可能性があります。この脆弱性は 5.2.1 で修正されました。(CVE-2026-39983)

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

検出

Linux Distros のパッチ未適用の脆弱性: CVE-2026-39983

high Nessus プラグイン ID 306131

バージョン 1.8