遠端主機上安裝的 node-tar 版本早於 7.5.10。因此，其會受到一個弱點的影響：

  - node-tar 是 Node.js 的全功能 Tar。在 7.5.10 之前的版本中，攻擊者可以使用磁碟機相對的固定連結目標 (如 C:../target.txt) 來誘騙 tar 建立指向擷取目錄外部的固定連結，這使得能夠在正常 tar.x() 擷取期間在 cwd 外部啟用檔案覆寫。此問題已在 7.5.10 版中修正。(CVE-2026-29786)

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

因此，會受到 ALAS2023-2026-1484 公告中所提及的多個弱點影響。

    在 1.1.11/2.0.1/3.0.0/4.0.0之前的 juriangruber 大括號擴充中發現一個弱點。目前已將其歸類為「有問題」。受此問題影響的是 index.js 檔案的函式展開。操控導致規則運算式複雜度低效。攻擊者可在遠端執行此攻擊。此攻擊的複雜度很高。已知此惡意利用很困難。攻擊程式已向公眾披露且可能會遭到利用。升級至 1.1.12、 2.0.2、 3.0.1 和 4.0.1 版即可解決此問題。
    修補程式的名稱是 a5b98a4f30d7813266b221435e1eaaf25a1b0ac5。建議升級受影響的元件。(CVE-2025-5889)

    node-tar 是適用於 Node.js 的全功能 Tar。在 7.5.7 版和更舊版本中使用預設選項時受攻擊者控制的封存可在指向擷取 root 外部檔案的擷取目錄內建立固定連結進而以擷取使用者的身分讀取和寫入任意檔案。基元繞過路徑保護並將封存擷取變成直接檔案系統存取基元因而導致高嚴重性。7.5.8 版已修正此問題。(CVE-2026-26960)

    node-tar 是適用於 Node.js 的全功能 Tar。在 7.5.10版之前使用 C:../target.txt 等磁碟機相關連結目標可誘騙 tar 建立指向擷取目錄之外的固定連結這會在正常 tar.x 期間啟用 cwd 之外的檔案覆寫() 擷取。此問題已在 7.5.10 版中修正。(CVE-2026-29786)

Tenable 已直接從所測試產品的安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

因此，會受到 ALAS2023-2026-1483 公告中所提及的多個弱點影響。

    node-tar 是適用於 Node.js 的全功能 Tar。在 7.5.7 版和更舊版本中使用預設選項時受攻擊者控制的封存可在指向擷取 root 外部檔案的擷取目錄內建立固定連結進而以擷取使用者的身分讀取和寫入任意檔案。基元繞過路徑保護並將封存擷取變成直接檔案系統存取基元因而導致高嚴重性。7.5.8 版已修正此問題。(CVE-2026-26960)

    node-tar 是適用於 Node.js 的全功能 Tar。在 7.5.10版之前使用 C:../target.txt 等磁碟機相關連結目標可誘騙 tar 建立指向擷取目錄之外的固定連結這會在正常 tar.x 期間啟用 cwd 之外的檔案覆寫() 擷取。此問題已在 7.5.10 版中修正。(CVE-2026-29786)

Tenable 已直接從所測試產品的安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

因此，它會受到 ALAS2023-2026-1609 公告中所提及的多個弱點影響。

    @isaacs/brace-expansion 是 cjs/esm TypeScript 的混合分支，是 brace-expansion 的分支。在版本 5.0.1之前，@isaacs/支架展開易受到無界支撐範圍擴展所造成的拒絕服務（DoS）問題。當攻擊者提供包含重複數字括號範圍的模式時，函式庫會積極地同步產生所有可能的組合。由於擴充會呈指數成長，即使是很小的輸入也可能消耗過多的 CPU 和記憶體，甚至可能導致Node.js程序當機。
    此問題已在 5.0.1 版中修正。(CVE-2026-25547)

    ZLIB 發現了一個缺陷。攻擊者若對 crc32_combine64 或 crc32_combine_gen64 函式提供特別輸入，可能會在 x2nmodp 函式中觸發無限迴圈。這會導致過度的 CPU 消耗，進而導致受影響系統遭遇阻斷服務（DoS）。
    (CVE-2026-27171)

    node-tar 是功能完整的 Tar for Node.js。在版本 7.5.10之前，tar 可以透過像 C：. 這樣的磁碟相對連結目標，被騙到建立指向擷取目錄外的硬連結。/target.txt，該功能允許在正常的 tar.x（） 解壓時，超出 cwd 的檔案覆寫。此問題已在 7.5.10 版中修正。(CVE-2026-29786)

Tenable 已直接從所測試產品的安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

在遠端主機上執行的 Atlassian Jira Service Management 資料中心和伺服器 （Jira Service Desk） 版本受到 JSDSERVER-16575 公告中提及的弱點影響。

  - 此檔案包含弱點可讓未經驗證的攻擊者讓應用程式顯示本機檔案的內容，或執行已儲存在伺服器上本機的不同檔案。（CVE-2026-29786）

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端的 Debian 11 主機安裝了一個套件，該套件受到多項漏洞影響，如 dla-4552 公告中所述。

    ------------------------------------------------------------------------- Debian LTS 諮詢 debian-lts@lists.debian.org DLA-4552-1https://www.debian.org/lts/security/Daniel Leidert 2026年4月29日 https://wiki.debian.org/LTS-------------------------------------------------------------------------

    套件 ： node-tar 版本 ： 6.0.5+ds1+~cs11.3.9-1+deb11u3 CVE ID ： CVE-2024-28863 CVE-2026-23745 CVE-2026-24842 CVE-2026-26960 CVE-2026-29786 CVE-2026-31802

    node-tar 是一個用於讀寫可攜式 tar 檔案的Node.js模組，已被發現多項漏洞。

    CVE-2024-28863

       產生大量子資料夾可能會消耗系統記憶體，甚至在包含過多子資料夾的路徑上，幾秒鐘內導致Node.js用戶端當機。

    CVE-2026-23745

       當 preservePaths 為假時，Link（hardlink）與 SymbolicLink 條目的連結路徑無法淨化，導致惡意壓縮檔繞過擷取根限制，導致硬連結任意覆寫檔案及絕對符號連結目標的符號中毒。

       此問題的修正會引入以下多項漏洞。

    CVE-2026-24842

       硬連結條目的安全檢查允許攻擊者打造惡意的 TAR 檔案，繞過路徑穿越保護，並建立指向解壓目錄外任意檔案的硬連結。

    CVE-2026-26960

       攻擊者控制的壓縮檔可以在擷取目錄內建立一個硬連結，指向擷取根目錄外的檔案，讓解壓使用者能任意讀寫檔案。

    CVE-2026-29786

       攻擊者控制的壓縮檔可透過磁碟相對連結目標建立指向擷取目錄外的硬連結。

    CVE-2026-31802

       攻擊者控制的壓縮檔可透過磁碟相對連結目標建立指向擷取目錄外的硬連結。


    對於 Debian 11 的 bullseye，這些問題已在 6.0.5+ds1+~cs11.3.9-1+deb11u3 版本中修正。

    我們建議你升級你的 node-tar 套件。

    如需了解 node-tar 的詳細安全狀態，請參閱其安全追蹤頁面：
    https://security-tracker.debian.org/tracker/node-tar

    有關 Debian LTS 安全公告、如何將這些更新套用至您的系統以及常見問題的詳細資訊，請參閱：https://wiki.debian.org/LTSAttachment:signature.ascDescription: 這是數位簽署的訊息部分

Tenable 已直接從 Debian 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且供應商未提供可用的修補程式。

  - node-tar 是適用於 Node.js 的全功能 Tar。在 7.5.10版之前使用 C:../target.txt 等磁碟機相關連結目標可誘騙 tar 建立指向擷取目錄之外的固定連結這會在正常 tar.x 期間啟用 cwd 之外的檔案覆寫() 擷取。此問題已在 7.5.10 版中修正。(CVE-2026-29786)

請注意，Nessus 依賴供應商報告的套件存在。

ID	名稱	產品	系列	已發布	已更新	嚴重性
318797	Node.js 模組 node-tar < 7.5.10 任意檔案覆寫	Nessus	Misc.	2026/6/5	2026/6/8	high
304285	Amazon Linux 2023 : nodejs20、nodejs20-devel、nodejs20-full-i18n (ALAS2023-2026-1484)	Nessus	Amazon Linux Local Security Checks	2026/3/30	2026/3/31	high
304295	Amazon Linux 2023: nodejs22、nodejs22-devel、nodejs22-full-i18n (ALAS2023-2026-1483)	Nessus	Amazon Linux Local Security Checks	2026/3/30	2026/3/30	high
311307	Amazon Linux 2023：nodejs24、nodejs24-devel、nodejs24-full-i18n (ALAS2023-2026-1609)	Nessus	Amazon Linux Local Security Checks	2026/4/30	2026/4/30	critical
316963	Atlassian Jira服務管理資料中心和伺服器 5.15.2 < 10.3.18 / 10.4.0 < 11.3.5 （JSDSERVER-16575）	Nessus	Misc.	2026/5/27	2026/5/28	high
310898	Debian dla-4552 ： node-tar - 安全更新	Nessus	Debian Local Security Checks	2026/4/29	2026/4/29	high
301465	Linux Distros 未修補的弱點：CVE-2026-29786	Nessus	Misc.	2026/3/7	2026/8/2	high

偵測

搜尋 Plugin

high

high

high

critical

high

high

high