したがって、ALAS2023-2026-1464 のアドバイザリに記載されている複数の脆弱性の影響を受けます。

    node-tarはNode.jsのTarです。node-tar ライブラリ<= 7.5.2は、preservePaths が false である場合デフォルトの安全な動作、Link ハードリンクおよび SymbolicLink エントリのリンクパスのサニタイズに失敗します。これにより、悪意のあるアーカイブが抽出ルート制限をバイパスし、ハードリンクを介して任意のファイルの上書きや絶対シンボリックリンクターゲットを介してシンボリックリンクポイズニングを引き起こす可能性があります。この脆弱性は 7.5.3 で修正されています。
    (CVE-2026-23745)

    Node.js 用の Tar である node-tar に、 7.5.3までのバージョンの競合状態脆弱性があります。これは、「path-reservations」システムで Unicode パスの競合を不完全に処理していることが原因です。大文字と小文字を区別しないまたは正規化を区別しないファイルシステムmacOS APFS などでテストされているでは、ライブラリが競合するパス例「ss」と「ss」をロックできず、それらを並列処理できます。これにより、ライブラリの内部の同時性保護がバイパスされ、競合状態を介してシンボリックリンクポイズニング攻撃が可能になります。ライブラリは「Path reserves」システムを使用して、同じパスに対するメタデータのチェックおよびファイル操作が確実にシリアル化されるようにします。これにより、あるエントリが別のエントリを同時に上書きする可能性のある競合状態を回避できます。これは、任意のファイルの上書きを可能にする競合状態です。この脆弱性は、macOSAPFS/HFS+でnode-tarを使用するユーザーとシステムに影響します。「NFD」Unicode 正規化で「ss」と「ss」が異なるを使用するために、競合するパスの順序が、Unicode 正規化を無視するファイルシステム下で適切に保存されません例APFS「ss」が inode を引き起こす「ss」との衝突)。これにより、攻撃者は悪意のある tar アーカイブ内で競合するファイル名を使用して、内部並列化ロック「Path reserves」を回避することができます。バージョン 7.5.4 のパッチでは、ターゲットファイルシステムの動作例「NFKD」、それに続く最初の「toLocaleLowerCase('en')」、「toLocaleUpperCase(」の順) に一致する正規化形式を使用するように「path-reservations.js」を更新していますen」を元に戻します。
    回避策として、すぐにアップグレードできないユーザー、および「node-tar」を使用して任意の tarball データを抽出しているユーザーは、すべての「SymbolicLink」エントリnpm が行うようにフィルターで除外し、このファイルシステムのエントリ名を介した任意のファイル書き込みに対して防御する必要があります。発見しました。CVE-2026-23950

Tenable は、前述の記述ブロックをテスト済み製品のセキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートの Fedora 43 ホストには、FEDORA-2026-a84e0ad039 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    pccs デーモンによって使用される nodejs モジュールを CVE-2026-23745、 、 CVE-2026-23950、 CVE-2026-24842、 CVE-2025-13465、 CVE-2025-15284に対して更新します。
    デフォルト pccs デーモンポートの Fedora オーバーライドを削除します。
    pccs から mpa_registration で冗長な dep を削除します。
    pccs サーバーにシステムスクリプトレットを追加します。
    pycryptography & pyasn1 へのポート。
    キーリングコードのトレースバックを修正します。


Tenable は、前述の記述ブロックを Fedora セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

したがって、ALAS2023-2026-1465 のアドバイザリに記載されている複数の脆弱性の影響を受けます。

     1.1.11/2.0.1/3.0.0/4.0.0までの juliangruber brace-expansion に脆弱性が見つかりました。問題があると分類されました。ファイル index.js の関数 expand はこの問題の影響を受けます。この操作により、正規表現が非効率的に複雑になります。攻撃がリモートで起動される可能性があります。攻撃の複雑性はかなり高いものです。この脆弱性の悪用は困難であることが知られています。このエクスプロイトは一般に公開されており、使用される可能性があります。バージョン 1.1.12、 2.0.2、 3.0.1 、 4.0.1 にアップグレードすると、この問題に対処できます。
    パッチの名前は、a5b98a4f30d7813266b221435e1eaaf25a1b0ac5 です。影響を受けるコンポーネントをアップグレードすることが推奨されます。(CVE-2025-5889)

    node-tarはNode.jsのTarです。node-tar ライブラリ<= 7.5.2は、preservePaths が false である場合デフォルトの安全な動作、Link ハードリンクおよび SymbolicLink エントリのリンクパスのサニタイズに失敗します。これにより、悪意のあるアーカイブが抽出ルート制限をバイパスし、ハードリンクを介して任意のファイルの上書きや絶対シンボリックリンクターゲットを介してシンボリックリンクポイズニングを引き起こす可能性があります。この脆弱性は 7.5.3 で修正されています。
    (CVE-2026-23745)

    Node.js 用の Tar である node-tar に、 7.5.3までのバージョンの競合状態脆弱性があります。これは、「path-reservations」システムで Unicode パスの競合を不完全に処理していることが原因です。大文字と小文字を区別しないまたは正規化を区別しないファイルシステムmacOS APFS などでテストされているでは、ライブラリが競合するパス例「ss」と「ss」をロックできず、それらを並列処理できます。これにより、ライブラリの内部の同時性保護がバイパスされ、競合状態を介してシンボリックリンクポイズニング攻撃が可能になります。ライブラリは「Path reserves」システムを使用して、同じパスに対するメタデータのチェックおよびファイル操作が確実にシリアル化されるようにします。これにより、あるエントリが別のエントリを同時に上書きする可能性のある競合状態を回避できます。これは、任意のファイルの上書きを可能にする競合状態です。この脆弱性は、macOSAPFS/HFS+でnode-tarを使用するユーザーとシステムに影響します。「NFD」Unicode 正規化で「ss」と「ss」が異なるを使用するために、競合するパスの順序が、Unicode 正規化を無視するファイルシステム下で適切に保存されません例APFS「ss」が inode を引き起こす「ss」との衝突)。これにより、攻撃者は悪意のある tar アーカイブ内で競合するファイル名を使用して、内部並列化ロック「Path reserves」を回避することができます。バージョン 7.5.4 のパッチでは、ターゲットファイルシステムの動作例「NFKD」、それに続く最初の「toLocaleLowerCase('en')」、「toLocaleUpperCase(」の順) に一致する正規化形式を使用するように「path-reservations.js」を更新していますen」を元に戻します。
    回避策として、すぐにアップグレードできないユーザー、および「node-tar」を使用して任意の tarball データを抽出しているユーザーは、すべての「SymbolicLink」エントリnpm が行うようにフィルターで除外し、このファイルシステムのエントリ名を介した任意のファイル書き込みに対して防御する必要があります。発見しました。CVE-2026-23950

Tenable は、前述の記述ブロックをテスト済み製品のセキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

したがって、ALAS2023-2026-1466 のアドバイザリに記載されている複数の脆弱性の影響を受けます。

    node-tarはNode.jsのTarです。node-tar ライブラリ<= 7.5.2は、preservePaths が false である場合デフォルトの安全な動作、Link ハードリンクおよび SymbolicLink エントリのリンクパスのサニタイズに失敗します。これにより、悪意のあるアーカイブが抽出ルート制限をバイパスし、ハードリンクを介して任意のファイルの上書きや絶対シンボリックリンクターゲットを介してシンボリックリンクポイズニングを引き起こす可能性があります。この脆弱性は 7.5.3 で修正されています。
    (CVE-2026-23745)

    Node.js 用の Tar である node-tar に、 7.5.3までのバージョンの競合状態脆弱性があります。これは、「path-reservations」システムで Unicode パスの競合を不完全に処理していることが原因です。大文字と小文字を区別しないまたは正規化を区別しないファイルシステムmacOS APFS などでテストされているでは、ライブラリが競合するパス例「ss」と「ss」をロックできず、それらを並列処理できます。これにより、ライブラリの内部の同時性保護がバイパスされ、競合状態を介してシンボリックリンクポイズニング攻撃が可能になります。ライブラリは「Path reserves」システムを使用して、同じパスに対するメタデータのチェックおよびファイル操作が確実にシリアル化されるようにします。これにより、あるエントリが別のエントリを同時に上書きする可能性のある競合状態を回避できます。これは、任意のファイルの上書きを可能にする競合状態です。この脆弱性は、macOSAPFS/HFS+でnode-tarを使用するユーザーとシステムに影響します。「NFD」Unicode 正規化で「ss」と「ss」が異なるを使用するために、競合するパスの順序が、Unicode 正規化を無視するファイルシステム下で適切に保存されません例APFS「ss」が inode を引き起こす「ss」との衝突)。これにより、攻撃者は悪意のある tar アーカイブ内で競合するファイル名を使用して、内部並列化ロック「Path reserves」を回避することができます。バージョン 7.5.4 のパッチでは、ターゲットファイルシステムの動作例「NFKD」、それに続く最初の「toLocaleLowerCase('en')」、「toLocaleUpperCase(」の順) に一致する正規化形式を使用するように「path-reservations.js」を更新していますen」を元に戻します。
    回避策として、すぐにアップグレードできないユーザー、および「node-tar」を使用して任意の tarball データを抽出しているユーザーは、すべての「SymbolicLink」エントリnpm が行うようにフィルターで除外し、このファイルシステムのエントリ名を介した任意のファイル書き込みに対して防御する必要があります。発見しました。CVE-2026-23950

    node-tarNode.js 用の Tar には、 より前のバージョンの脆弱性が含まれています。 7.5.7 より前のバージョンでは、ハードリンクエントリのセキュリティチェックが、実際のハードリンク作成ロジックとは異なるパス解決セマンティックを使用します。
    この不一致により、攻撃者は、パストラバーサル保護をバイパスし、抽出ディレクトリ外に任意のファイルへのハードリンクを作成する悪意ある TAR アーカイブを作成することができます。バージョン 7.5.7 には、 の問題の修正が含まれています。CVE-2026-24842

Tenable は、前述の記述ブロックをテスト済み製品のセキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートの Fedora 43 ホストには、FEDORA-2026-f601b2f60a のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    バージョン20.20.0への更新

    ----

    バージョン20.19.6への更新




Tenable は、前述の記述ブロックを Fedora セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - Node.js 用の Tar である node-tar に、 7.5.3までのバージョンの競合状態脆弱性があります。これは、「path-reservations」システムで Unicode パスの競合を不完全に処理していることが原因です。大文字と小文字を区別しないまたは正規化を区別しないファイルシステムmacOS APFS などでテストされているでは、ライブラリが競合するパス例「」と「ss」をロックできず、それらが並列処理される可能性があります。
    これにより、ライブラリの内部の同時性保護がバイパスされ、競合状態を介してシンボリックリンクポイズニング攻撃が可能になります。ライブラリは「Path reserves」システムを使用して、同じパスに対するメタデータのチェックおよびファイル操作が確実にシリアル化されるようにします。これにより、あるエントリが別のエントリを同時に上書きする可能性のある競合状態を回避できます。これは、任意のファイルの上書きを可能にする競合状態です。この脆弱性は、macOSAPFS/HFS+でnode-tarを使用するユーザーとシステムに影響します。「NFD」Unicode 正規化で「 と ss」が異なるを使用するために、競合するパスの順序が適切に保存されません。Unicode の正規化を無視するファイルシステム下でたとえば、APFS「」が「 sssd。これにより、攻撃者は悪意のある tar アーカイブ内で競合するファイル名を使用して、内部並列化ロック「Path reserves」を回避することができます。バージョン 7.5.4 のパッチでは、ターゲットファイルシステムの動作例「NFKD」、それに続く最初の「toLocaleLowerCase('en')」、「toLocaleUpperCase(」の順) に一致する正規化形式を使用するように「path-reservations.js」を更新していますen」を元に戻します。
    回避策として、すぐにアップグレードできないユーザー、および「node-tar」を使用して任意の tarball データを抽出しているユーザーは、すべての「SymbolicLink」エントリnpm が行うようにフィルターで除外し、このファイルシステムのエントリ名を介した任意のファイル書き込みに対して防御する必要があります。発見しました。CVE-2026-23950

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

リモートホストで実行されているAtlassian Jira Service Management Data CenterとServerJira Service Deskのバージョンは、JSDSERVER-16530アドバイザリに記載されている脆弱性の影響を受けます。

  - Node.js 用の Tar である node-tar に、 7.5.3までのバージョンの競合状態脆弱性があります。これは、「path-reservations」システムで Unicode パスの競合を不完全に処理していることが原因です。大文字と小文字を区別しないまたは正規化を区別しないファイルシステムmacOS APFS などでテストされているでは、ライブラリが競合するパス例「tas」と「ss」をロックできず、それらを並列処理できます。これにより、ライブラリの内部の同時性保護がバイパスされ、競合状態を介してシンボリックリンクポイズニング攻撃が可能になります。ライブラリは「Path reserves」システムを使用して、同じパスに対するメタデータのチェックおよびファイル操作が確実にシリアル化されるようにします。これにより、あるエントリが別のエントリを同時に上書きする可能性のある競合状態を回避できます。これは、任意のファイルの上書きを可能にする競合状態です。この脆弱性は、macOSAPFS/HFS+でnode-tarを使用するユーザーとシステムに影響します。「NFD」Unicode 正規化を使用するために「util」と「ss」は異なるため、競合するパスは、Unicode の正規化を無視するファイルシステムにおいて、順序が適切に保存されません例APFS「ユーザー」が inode を引き起こす「ss」との衝突)。これにより、攻撃者は悪意のある tar アーカイブ内で競合するファイル名を使用して、内部並列化ロック「Path reserves」を回避することができます。バージョン 7.5.4 のパッチでは、ターゲットファイルシステムの動作例「NFKD」、それに続く最初の「toLocaleLowerCase('en')」、「toLocaleUpperCase(」の順) に一致する正規化形式を使用するように「path-reservations.js」を更新していますen」を元に戻します。回避策として、すぐにアップグレードできないユーザー、および「node-tar」を使用して任意の tarball データを抽出しているユーザーは、すべての「SymbolicLink」エントリnpm が行うようにフィルターで除外し、このファイルシステムのエントリ名を介した任意のファイル書き込みに対して防御する必要があります。発見しました。CVE-2026-23950

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
301359	Amazon Linux 2023 : nodejs20、nodejs20-devel、nodejs20-full-i18n (ALAS2023-2026-1464)	Nessus	Amazon Linux Local Security Checks	2026/3/6	2026/3/6	high
299072	Fedora 43linux-sgx2026-a84e0ad039	Nessus	Fedora Local Security Checks	2026/2/14	2026/2/19	high
301342	Amazon Linux 2023 : nodejs22、nodejs22-devel、nodejs22-full-i18n (ALAS2023-2026-1465)	Nessus	Amazon Linux Local Security Checks	2026/3/6	2026/3/9	high
301345	Amazon Linux 2023nodejs24、nodejs24-devel、nodejs24-full-i18nALAS2023-2026-1466]	Nessus	Amazon Linux Local Security Checks	2026/3/6	2026/3/6	high
297442	Fedora 43nodejs202026-f601b2f60a	Nessus	Fedora Local Security Checks	2026/1/31	2026/4/3	high
293776	Linux Distros のパッチ未適用の脆弱性: CVE-2026-23950	Nessus	Misc.	2026/1/20	2026/4/29	medium
306485	Atlassian Jira Service Management 5.15.2 < 10.3.18 / 10.4.0 < 11.3.3 JSDSERVER-16530	Nessus	Misc.	2026/4/15	2026/4/15	medium

検出

プラグインの検索

high

high

high

high

high

medium

medium