因此，會受到 ALAS2023-2026-1464 公告中所提及的多個弱點影響。

    node-tar 是 Node.js 的 Tar。當preservePaths 為 false (預設的安全行為) 時node-tar 程式庫 (<= 7.5.2) 無法清理連結 (固定連結) 和 SymbolicLink 項目的連結路徑。這可讓惡意封存繞過擷取 root 限制進而透過絕對符號連結目標透過固定連結導致任意檔案覆寫和符號連結毒害。此弱點已在 7.5.3 中修正。
    (CVE-2026-23745)

    在 7.5.3版及之前的所有版本中node-tar (Node.js 的 Tar) 存有一個爭用情形弱點。這是因為在 `path-reservations` 系統中未完整處理 Unicode 路徑衝突所導致。在區分大小寫或不區分標準化的檔案系統上 (例如 macOS APFS在 中對其進行了測試)程式庫無法鎖定衝突的路徑 (例如「ss」和「ss」)因此可將其平行處理。這會繞過程式庫的內部並行保護機制並允許透過爭用情形發動符號連結毒害攻擊。程式庫使用 `PathReservations` 系統確保相同路徑的詮釋資料檢查和檔案作業皆已序列化。如此可防止一個項目可能同時攻擊另一個項目的爭用情形。這是會啟用任意檔案覆寫的爭用情形。此弱點會影響在 macOS (APFS/HFS+) 上使用 node-tar 的使用者和系統。由於使用 `NFD` Unicode 標準化 (其中 `ss` 和 `ss` 是不同的)在忽略 Unicode 標準化 (例如APFS (其中 `ss` 會造成 inode與 `ss` 的衝突))。這可讓攻擊者使用惡意 tar 封存中衝突的檔案名稱規避內部平行化鎖定 (`PathReservations`)。 7.5.4 版中的修補程式更新了「path-reservations.js」以使用符合目標檔案系統行為的標準化形式 (例如「NFKD」)先是「toLocaleLowerCase('en')」然後是「toLocaleUpperCase(」) en')`。
    因使用者無法及時升級以及以程式設計方式使用「node-tar」來擷取任意 tarball 資料的使用者應篩選出所有「SymbolicLink」項目 (如 npm) 以防禦透過此檔案系統項目名稱的任意檔案寫入衝突問題。 (CVE-2026-23950)

Tenable 已直接從所測試產品的安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

因此，會受到 ALAS2023-2026-1465 公告中所提及的多個弱點影響。

    在 1.1.11/2.0.1/3.0.0/4.0.0之前的 juriangruber 大括號擴充中發現一個弱點。目前已將其歸類為「有問題」。受此問題影響的是 index.js 檔案的函式展開。操控導致規則運算式複雜度低效。攻擊者可在遠端執行此攻擊。此攻擊的複雜度很高。已知此惡意利用很困難。攻擊程式已向公眾披露且可能會遭到利用。升級至 1.1.12、 2.0.2、 3.0.1 和 4.0.1 版即可解決此問題。
    修補程式的名稱是 a5b98a4f30d7813266b221435e1eaaf25a1b0ac5。建議升級受影響的元件。(CVE-2025-5889)

    node-tar 是 Node.js 的 Tar。當preservePaths 為 false (預設的安全行為) 時node-tar 程式庫 (<= 7.5.2) 無法清理連結 (固定連結) 和 SymbolicLink 項目的連結路徑。這可讓惡意封存繞過擷取 root 限制進而透過絕對符號連結目標透過固定連結導致任意檔案覆寫和符號連結毒害。此弱點已在 7.5.3 中修正。
    (CVE-2026-23745)

    在 7.5.3版及之前的所有版本中node-tar (Node.js 的 Tar) 存有一個爭用情形弱點。這是因為在 `path-reservations` 系統中未完整處理 Unicode 路徑衝突所導致。在區分大小寫或不區分標準化的檔案系統上 (例如 macOS APFS在 中對其進行了測試)程式庫無法鎖定衝突的路徑 (例如「ss」和「ss」)因此可將其平行處理。這會繞過程式庫的內部並行保護機制並允許透過爭用情形發動符號連結毒害攻擊。程式庫使用 `PathReservations` 系統確保相同路徑的詮釋資料檢查和檔案作業皆已序列化。如此可防止一個項目可能同時攻擊另一個項目的爭用情形。這是會啟用任意檔案覆寫的爭用情形。此弱點會影響在 macOS (APFS/HFS+) 上使用 node-tar 的使用者和系統。由於使用 `NFD` Unicode 標準化 (其中 `ss` 和 `ss` 是不同的)在忽略 Unicode 標準化 (例如APFS (其中 `ss` 會造成 inode與 `ss` 的衝突))。這可讓攻擊者使用惡意 tar 封存中衝突的檔案名稱規避內部平行化鎖定 (`PathReservations`)。 7.5.4 版中的修補程式更新了「path-reservations.js」以使用符合目標檔案系統行為的標準化形式 (例如「NFKD」)先是「toLocaleLowerCase('en')」然後是「toLocaleUpperCase(」) en')`。
    因使用者無法及時升級以及以程式設計方式使用「node-tar」來擷取任意 tarball 資料的使用者應篩選出所有「SymbolicLink」項目 (如 npm) 以防禦透過此檔案系統項目名稱的任意檔案寫入衝突問題。 (CVE-2026-23950)

Tenable 已直接從所測試產品的安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

因此，會受到 ALAS2023-2026-1466 公告中所提及的多個弱點影響。

    node-tar 是 Node.js 的 Tar。當preservePaths 為 false (預設的安全行為) 時node-tar 程式庫 (<= 7.5.2) 無法清理連結 (固定連結) 和 SymbolicLink 項目的連結路徑。這可讓惡意封存繞過擷取 root 限制進而透過絕對符號連結目標透過固定連結導致任意檔案覆寫和符號連結毒害。此弱點已在 7.5.3 中修正。
    (CVE-2026-23745)

    在 7.5.3版及之前的所有版本中node-tar (Node.js 的 Tar) 存有一個爭用情形弱點。這是因為在 `path-reservations` 系統中未完整處理 Unicode 路徑衝突所導致。在區分大小寫或不區分標準化的檔案系統上 (例如 macOS APFS在 中對其進行了測試)程式庫無法鎖定衝突的路徑 (例如「ss」和「ss」)因此可將其平行處理。這會繞過程式庫的內部並行保護機制並允許透過爭用情形發動符號連結毒害攻擊。程式庫使用 `PathReservations` 系統確保相同路徑的詮釋資料檢查和檔案作業皆已序列化。如此可防止一個項目可能同時攻擊另一個項目的爭用情形。這是會啟用任意檔案覆寫的爭用情形。此弱點會影響在 macOS (APFS/HFS+) 上使用 node-tar 的使用者和系統。由於使用 `NFD` Unicode 標準化 (其中 `ss` 和 `ss` 是不同的)在忽略 Unicode 標準化 (例如APFS (其中 `ss` 會造成 inode與 `ss` 的衝突))。這可讓攻擊者使用惡意 tar 封存中衝突的檔案名稱規避內部平行化鎖定 (`PathReservations`)。 7.5.4 版中的修補程式更新了「path-reservations.js」以使用符合目標檔案系統行為的標準化形式 (例如「NFKD」)先是「toLocaleLowerCase('en')」然後是「toLocaleUpperCase(」) en')`。
    因使用者無法及時升級以及以程式設計方式使用「node-tar」來擷取任意 tarball 資料的使用者應篩選出所有「SymbolicLink」項目 (如 npm) 以防禦透過此檔案系統項目名稱的任意檔案寫入衝突問題。 (CVE-2026-23950)

    node-tar (Node.js 的 Tar) 在 7.5.7 之前的版本中含有一個弱點其中固定連結項目的安全性檢查使用與實際固定連結建立邏輯不同的路徑解析語意。
    此錯誤可讓攻擊者特製惡意的 TAR 封存繞過路徑遊走保護並在擷取目錄之外建立指向任意檔案的固定連結。版本 7.5.7 包含針對 問題的修正。 (CVE-2026-24842)

Tenable 已直接從所測試產品的安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端主機上執行的 Atlassian Jira Service Management Data Center and Server (Jira Service Desk) 版本受到 JSDSERVER-16530 公告中所提及的一個弱點影響。

  - 在 7.5.3版及其之前的所有版本中node-tar (Node.js 的 Tar) 都有一個爭用情形弱點。這是因為在 `path-reservations` 系統中未完整處理 Unicode 路徑衝突所導致。在區分大小寫或不區分標準化的檔案系統上 (例如 macOS APFS在 中對其進行了測試)程式庫無法鎖定衝突的路徑 (例如 `beta` 和 `ss`)因此可讓其以平行方式處理。這會繞過程式庫的內部並行保護機制並允許透過爭用情形發動符號連結毒害攻擊。程式庫使用 `PathReservations` 系統確保相同路徑的詮釋資料檢查和檔案作業皆已序列化。如此可防止一個項目可能同時攻擊另一個項目的爭用情形。這是會啟用任意檔案覆寫的爭用情形。此弱點會影響在 macOS (APFS/HFS+) 上使用 node-tar 的使用者和系統。由於使用 `NFD` Unicode 標準化 (其中 `beta` 和 `ss` 不同)在忽略 Unicode 標準化 (例如APFS (其中 `beta` 會造成 inode與 `ss` 的衝突))。這可讓攻擊者使用惡意 tar 封存中衝突的檔案名稱規避內部平行化鎖定 (`PathReservations`)。 7.5.4 版中的修補程式更新了「path-reservations.js」以使用符合目標檔案系統行為的標準化形式 (例如「NFKD」)先是「toLocaleLowerCase('en')」然後是「toLocaleUpperCase(」) en')`。因使用者無法及時升級以及以程式設計方式使用「node-tar」來擷取任意 tarball 資料的使用者應篩選出所有「SymbolicLink」項目 (如 npm) 以防禦透過此檔案系統項目名稱的任意檔案寫入衝突問題。 (CVE-2026-23950)

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且供應商未提供可用的修補程式。

  - 在 7.5.3版及其之前的所有版本中node-tar (Node.js 的 Tar) 都有一個爭用情形弱點。這是因為在 `path-reservations` 系統中未完整處理 Unicode 路徑衝突所導致。在區分大小寫或不區分標準化的檔案系統上 (例如 macOS APFS在 中對其進行了測試)程式庫無法鎖定衝突的路徑 (例如 `` 和 `ss`)因此可將其平行處理。
    這會繞過程式庫的內部並行保護機制並允許透過爭用情形發動符號連結毒害攻擊。程式庫使用 `PathReservations` 系統確保相同路徑的詮釋資料檢查和檔案作業皆已序列化。如此可防止一個項目可能同時攻擊另一個項目的爭用情形。這是會啟用任意檔案覆寫的爭用情形。此弱點會影響在 macOS (APFS/HFS+) 上使用 node-tar 的使用者和系統。由於使用 `NFD` Unicode 標準化 (其中 `` 和 `ss` 不同)因此在忽略 Unicode 標準化 (例如APFS (其中 `` 會造成與`ss`))。這可讓攻擊者使用惡意 tar 封存中衝突的檔案名稱規避內部平行化鎖定 (`PathReservations`)。 7.5.4 版中的修補程式更新了「path-reservations.js」以使用符合目標檔案系統行為的標準化形式 (例如「NFKD」)先是「toLocaleLowerCase('en')」然後是「toLocaleUpperCase(」) en')`。
    因使用者無法及時升級以及以程式設計方式使用「node-tar」來擷取任意 tarball 資料的使用者應篩選出所有「SymbolicLink」項目 (如 npm) 以防禦透過此檔案系統項目名稱的任意檔案寫入衝突問題。 (CVE-2026-23950)

請注意，Nessus 的判定取決於廠商所報告的套件是否存在。

ID	名稱	產品	系列	已發布	已更新	嚴重性
301359	Amazon Linux 2023：nodejs20、nodejs20-devel、nodejs20-full-i18n (ALAS2023-2026-1464)	Nessus	Amazon Linux Local Security Checks	2026/3/6	2026/3/6	high
301342	Amazon Linux 2023: nodejs22、nodejs22-devel、nodejs22-full-i18n (ALAS2023-2026-1465)	Nessus	Amazon Linux Local Security Checks	2026/3/6	2026/3/9	high
301345	Amazon Linux 2023nodejs24、nodejs24-devel、nodejs24-full-i18n (ALAS2023-2026-1466)	Nessus	Amazon Linux Local Security Checks	2026/3/6	2026/3/6	high
306485	Atlassian Jira Service Management 5.15.2 < 10.3.18 / 10.4.0 < 11.3.3 (JSDSERVER-16530)	Nessus	Misc.	2026/4/15	2026/4/15	medium
293776	Linux Distros 未修補的弱點：CVE-2026-23950	Nessus	Misc.	2026/1/20	2026/4/29	medium

偵測

搜尋 Plugin

high

high

high

medium

medium