Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且供應商未提供可用的修補程式。

  - Kitty 是一個基於 GPU 的跨平台終端機。在版本 0.47.0 和 0.47.1中，'kitten dnd' 可允許惡意遠端拖放來源覆寫或截斷本機 kitty 使用者可寫入的任意檔案。遠端 'text/uri-list' 刪除會暫存在暫存目錄中，但在區分大小寫的檔案系統上，重複的遠端基名稱不會刪除重複。攻擊者可以先建立暫存的符號連結，然後傳送同名的一般檔案項目。一般檔案寫入使用 'utils.CreateAt（）' / 'openat（O_RDWR|O_CREAT|O_TRUNC）' 而沒有 'O_NOFOLLOW'，因此它會遵循攻擊者建立的符號連結，並在執行最終覆寫確認之前寫入暫存目錄之外。這似乎與檔案傳輸符號連結公告有關，但它是一個不同的錯誤：它影響「kitten dnd」遠端拖放暫存，使用不同的易受攻擊的程式碼（「kittens/dnd/drop.go」和「tools/utils/file_at_fd.go」），並在檔案傳輸「O_NOFOLLOW」修正後在提交「4aa4a5c0567a92553a8c20a88a4352da637fca5d」時重現。版本 0.47.2 針對此問題提供了修補程式。(CVE-2026-54056)

請注意，Nessus 的判定取決於廠商所報告的套件是否存在。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - Kitty 是基于 GPU 的跨平台终端。在版本 0.47.0 和 中 0.47.1，“kitten dnd”可允许恶意远程拖放源覆盖或截断本地 kitty 用户可写入的任意文件。远程“text/uri-list”丢弃会暂存于一个临时目录中，但是在区分大小写的文件系统中，重复的远程基名并未去重。攻击者可先创建阶段性符号链接，然后发送同名的常规文件条目。常规文件写入使用“utils.CreateAt（）' / 'openat（O_RDWR|O_CREAT|O_TRUNC）' 而不含“O_NOFOLLOW”，因此它跟随攻击者创建的符号链接并在最终覆盖确认运行之前在暂存目录外写入。在类别中，这似乎与文件传输符号链接公告相关，但它是不同的缺陷：它影响“kitten dnd”远程拖放暂存，使用不同的易受攻击的代码（“kittens/dnd/drop.go”和“tools/utils/file_at_fd.go”），并在文件传输“O_NOFOLLOW”修复后的提交时重现“4aa4a5c0567a92553a8c20a88a4352da637fca5d”。版本 0.47.2 针对此问题提供了补丁。(CVE-2026-54056)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - Kitty は、クロスプラットフォーム GPU ベースのターミナルです。バージョン 0.47.0 および 0.47.1 では、「kitten dnd」により、悪意のあるリモートドラッグアンドドロップソースが、ローカルの kitty ユーザーが書き込み可能な任意のファイルを上書きまたは切り捨てできる可能性があります。リモートの「text/uri-list」ドロップは一時ディレクトリにステージングされますが、大文字と小文字を区別するファイルシステムでは、重複するリモート basename は重複排除されません。攻撃者は、最初にステージングされたシンボリックリンクを作成してから、同じ名前の正規ファイルエントリを送信する可能性があります。正規ファイルの書き込みでは、「utils.CreateAt()'/'openat(O_RDWR|O_CREAT|O_TRUNC)」O_NOFOLLOWが設定されていないため、攻撃者が作成したシンボリックリンクに従い、最終的な上書き確認が実行される前にステージングディレクトリの外部に書き込みます。これは、クラス内ではファイル転送シンボリックリンクアドバイザリに関連するようですが、別のバグです:「kitten dnd」リモートドラッグアンドドロップステージングに影響し、異なる脆弱なコード(「kittens/dnd/drop.go」および「tools/utils/file_at_fd.go」)が使用され、ファイル転送「O_NOFOLLOW」修正後のコミット「4aa4a5c0567a92553a8c20a88a4352da637fca5d」で再現されます。バージョン 0.47.2 はこの問題を修正します。(CVE-2026-54056)

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

The Linux/Unix host has one or more packages installed that are impacted by a vulnerability without a vendor supplied patch available.

  - Kitty is a cross-platform GPU based terminal. In versions 0.47.0 and 0.47.1, `kitten dnd` can allow a     malicious remote drag-and-drop source to overwrite or truncate arbitrary files writable by the local kitty     user. Remote `text/uri-list` drops are staged in a temporary directory, but on case-sensitive filesystems     duplicate remote basenames are not de-duplicated. An attacker can first create a staged symlink and then     send a same-name regular-file entry. The regular-file write uses `utils.CreateAt()` /     `openat(O_RDWR|O_CREAT|O_TRUNC)` without `O_NOFOLLOW`, so it follows the attacker-created symlink and     writes outside the staging directory before final overwrite confirmation runs. This appears related in     class to the file-transfer symlink advisory, but it is a different bug: it affects `kitten dnd` remote     drag-and-drop staging, uses different vulnerable code (`kittens/dnd/drop.go` and     `tools/utils/file_at_fd.go`), and reproduces on commit `4aa4a5c0567a92553a8c20a88a4352da637fca5d`, after     the file-transfer `O_NOFOLLOW` fix. Version 0.47.2 patches the issue. (CVE-2026-54056)

Note that Nessus relies on the presence of the package as reported by the vendor.

ID	名稱	產品	系列	已發布	已更新	嚴重性
320972	Linux Distros 未修補弱點：CVE-2026-54056	Nessus	Misc.	2026/6/13	2026/8/9	high
320972	Linux Distros 未修补的漏洞：CVE-2026-54056	Nessus	Misc.	2026/6/13	2026/8/9	high
320972	Linux Distros のパッチ未適用の脆弱性: CVE-2026-54056	Nessus	Misc.	2026/6/13	2026/8/9	high
320972	Linux Distros Unpatched Vulnerability : CVE-2026-54056	Nessus	Misc.	2026/6/13	2026/8/9	high

偵測

搜尋 Plugin

high

high

high

high