Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - パッケージ展開のすべてのバージョンは、同じパスを持つ 2 つのエントリを含む ZIP アーカイブを解凍する際に、アーカイブ抽出(Zip Slip)を介した任意のファイル書き込みに対して脆弱です。最初のエントリは任意のターゲットへのシンボリックリンクで、2 番目のエントリは通常のファイルです。ファイルコンテンツはシンボリックリンクを通じて、出力ディレクトリ外のターゲットの場所に書き込まれます。これは、最初のファイルのシンボリックリンクを解決する前に、2番目のファイルのreadlinkをチェックするマイクロタスク処理順序によるものです。攻撃者がホストファイルシステムで任意のファイルに書き込み、特別に細工された ZIP アーカイブを提供することで、リモートコードの実行を引き起こす可能性があります。**注意:**これにより、[CVE-2020-12265](https://security.snyk.io/vuln/SNYK-JS-DECOMPRESS-557358)の修正の一部として追加されたpreventWritingThroughSymlinkを含む、既存のすべてのパストラバーサル保護がバイパスされます。(CVE-2026-10732)

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

検出

Linux Distros のパッチ未適用の脆弱性: CVE-2026-10732

medium Nessus プラグイン ID 325138

バージョン 1.3