因此，會受到 ALAS2023-2026-1484 公告中所提及的多個弱點影響。

    在 1.1.11/2.0.1/3.0.0/4.0.0之前的 juriangruber 大括號擴充中發現一個弱點。目前已將其歸類為「有問題」。受此問題影響的是 index.js 檔案的函式展開。操控導致規則運算式複雜度低效。攻擊者可在遠端執行此攻擊。此攻擊的複雜度很高。已知此惡意利用很困難。攻擊程式已向公眾披露且可能會遭到利用。升級至 1.1.12、 2.0.2、 3.0.1 和 4.0.1 版即可解決此問題。
    修補程式的名稱是 a5b98a4f30d7813266b221435e1eaaf25a1b0ac5。建議升級受影響的元件。(CVE-2025-5889)

    node-tar 是適用於 Node.js 的全功能 Tar。在 7.5.7 版和更舊版本中使用預設選項時受攻擊者控制的封存可在指向擷取 root 外部檔案的擷取目錄內建立固定連結進而以擷取使用者的身分讀取和寫入任意檔案。基元繞過路徑保護並將封存擷取變成直接檔案系統存取基元因而導致高嚴重性。7.5.8 版已修正此問題。(CVE-2026-26960)

    node-tar 是適用於 Node.js 的全功能 Tar。在 7.5.10版之前使用 C:../target.txt 等磁碟機相關連結目標可誘騙 tar 建立指向擷取目錄之外的固定連結這會在正常 tar.x 期間啟用 cwd 之外的檔案覆寫() 擷取。此問題已在 7.5.10 版中修正。(CVE-2026-29786)

Tenable 已直接從所測試產品的安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

因此，此版本會受到 ALAS2023-2025-1123 公告中提及的一個弱點影響。

    在 1.1.11/2.0.1/3.0.0/4.0.0版之前的 juriangruber 大括號擴充中發現一個弱點。目前已將其歸類為「有問題」。受此問題影響的是 index.js 檔案的函式展開。操控導致規則運算式複雜度低效。攻擊者可在遠端執行此攻擊。此攻擊的複雜度很高。已知此惡意利用很困難。攻擊程式已向公眾披露且可能會遭到利用。升級至 1.1.12、 2.0.2、 3.0.1 和 4.0.1 版即可解決此問題。
    修補程式的名稱是 a5b98a4f30d7813266b221435e1eaaf25a1b0ac5。建議升級受影響的元件。(CVE-2025-5889)

Tenable 已直接從所測試產品的安全公告擷取前置描述區塊。

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且供應商未提供可用的修補程式。

  - 在 1.1.11/2.0.1/3.0.0/4.0.0之前的 Juliangruber 大括號擴充中發現一個弱點。目前已將其歸類為「有問題」。受此問題影響的是 index.js 檔案的函式展開。操控導致規則運算式複雜度低效。攻擊者可在遠端執行此攻擊。此攻擊的複雜度很高。已知此惡意利用很困難。攻擊程式已向公眾披露且可能會遭到利用。升級至 1.1.12、 2.0.2、 3.0.1 和 4.0.1 版即可解決此問題。
    修補程式的名稱是 a5b98a4f30d7813266b221435e1eaaf25a1b0ac5。建議升級受影響的元件。(CVE-2025-5889)

請注意，Nessus 依賴供應商報告的套件存在。

因此，會受到 ALAS2023-2026-1465 公告中所提及的多個弱點影響。

    在 1.1.11/2.0.1/3.0.0/4.0.0之前的 juriangruber 大括號擴充中發現一個弱點。目前已將其歸類為「有問題」。受此問題影響的是 index.js 檔案的函式展開。操控導致規則運算式複雜度低效。攻擊者可在遠端執行此攻擊。此攻擊的複雜度很高。已知此惡意利用很困難。攻擊程式已向公眾披露且可能會遭到利用。升級至 1.1.12、 2.0.2、 3.0.1 和 4.0.1 版即可解決此問題。
    修補程式的名稱是 a5b98a4f30d7813266b221435e1eaaf25a1b0ac5。建議升級受影響的元件。(CVE-2025-5889)

    node-tar 是 Node.js 的 Tar。當preservePaths 為 false (預設的安全行為) 時node-tar 程式庫 (<= 7.5.2) 無法清理連結 (固定連結) 和 SymbolicLink 項目的連結路徑。這可讓惡意封存繞過擷取 root 限制進而透過絕對符號連結目標透過固定連結導致任意檔案覆寫和符號連結毒害。此弱點已在 7.5.3 中修正。
    (CVE-2026-23745)

    在 7.5.3版及之前的所有版本中node-tar (Node.js 的 Tar) 存有一個爭用情形弱點。這是因為在 `path-reservations` 系統中未完整處理 Unicode 路徑衝突所導致。在區分大小寫或不區分標準化的檔案系統上 (例如 macOS APFS在 中對其進行了測試)程式庫無法鎖定衝突的路徑 (例如「ss」和「ss」)因此可將其平行處理。這會繞過程式庫的內部並行保護機制並允許透過爭用情形發動符號連結毒害攻擊。程式庫使用 `PathReservations` 系統確保相同路徑的詮釋資料檢查和檔案作業皆已序列化。如此可防止一個項目可能同時攻擊另一個項目的爭用情形。這是會啟用任意檔案覆寫的爭用情形。此弱點會影響在 macOS (APFS/HFS+) 上使用 node-tar 的使用者和系統。由於使用 `NFD` Unicode 標準化 (其中 `ss` 和 `ss` 是不同的)在忽略 Unicode 標準化 (例如APFS (其中 `ss` 會造成 inode與 `ss` 的衝突))。這可讓攻擊者使用惡意 tar 封存中衝突的檔案名稱規避內部平行化鎖定 (`PathReservations`)。 7.5.4 版中的修補程式更新了「path-reservations.js」以使用符合目標檔案系統行為的標準化形式 (例如「NFKD」)先是「toLocaleLowerCase('en')」然後是「toLocaleUpperCase(」) en')`。
    因使用者無法及時升級以及以程式設計方式使用「node-tar」來擷取任意 tarball 資料的使用者應篩選出所有「SymbolicLink」項目 (如 npm) 以防禦透過此檔案系統項目名稱的任意檔案寫入衝突問題。 (CVE-2026-23950)

Tenable 已直接從所測試產品的安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

ID	名稱	產品	系列	已發布	已更新	嚴重性
304285	Amazon Linux 2023 : nodejs20、nodejs20-devel、nodejs20-full-i18n (ALAS2023-2026-1484)	Nessus	Amazon Linux Local Security Checks	2026/3/30	2026/3/31	high
243467	Amazon Linux 2023 : nodejs、nodejs-devel、nodejs-full-i18n (ALAS2023-2025-1123)	Nessus	Amazon Linux Local Security Checks	2025/8/4	2025/8/14	low
248416	Linux Distros 未修補的弱點：CVE-2025-5889	Nessus	Misc.	2025/8/11	2026/2/14	low
301342	Amazon Linux 2023: nodejs22、nodejs22-devel、nodejs22-full-i18n (ALAS2023-2026-1465)	Nessus	Amazon Linux Local Security Checks	2026/3/6	2026/3/9	high

偵測

搜尋 Plugin

high

low

low

high