Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - Hugo 是一个静态站点发生器。在 v0.123.0 之后和 v0.165.0 之前的版本中，在直接资源查找期间未丢弃父目录中的符号链接，从而允许绕过路径约束。能够在挂载的目录中（例如，在 themes/ 下的本地供应商主题中）放置符号链接的攻击者，可造成执行直接查找的函数，例如 resources。Get 和 os。ReadFile，以遵循该符号链接并读取预期项目边界之外的文件，从而在构建的站点中泄露其内容。挂载为从 GitHub 提取的 Go 模块的主题在下载时剥离了符号链接，因此不受影响，多目录遍历（例如内容/资产遍历）不受影响。此问题是 GHSA-c3wq-j5vh-68rc 和 GHSA-fw87-fv5r-9fpw 的不完整补丁后续;已在 v0.165.0 中修复。（CVE-2026-89258）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且供應商未提供可用的修補程式。

  - Hugo 是一個靜態網站產生器。在 v0.123.0 之後和 v0.165.0 之前的版本中，在直接資源查詢期間不會捨棄父目錄中的符號連結，因此可以繞過路徑限制。攻擊者若能放置或說服網站作者將符號連結放在掛載的目錄內 （例如，在 themes/ 下的本機廠商佈景主題中） ，可能會導致執行直接查詢的函式，例如資源。取得和 os。ReadFile，以遵循該符號連結並讀取預期專案邊界之外的檔案，並在建置的網站上揭露其內容。掛載為從 GitHub 擷取的 Go 模組的主題在下載時會剝離符號連結，並且不受影響，並且多目錄遍歷（例如內容/資產遍歷）不受影響。此問題是 GHSA-c3wq-j5vh-68rc 和 GHSA-fw87-fv5r-9fpw 的不完整修正後續作業;已於 v0.165.0 中修正。（CVE-2026-89258）

請注意，Nessus 的判定取決於廠商所報告的套件是否存在。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - Hugo は静的サイトジェネレーターです。v0.123.0 より後、v0.165.0 より前のバージョンでは、直接リソースを検索する際に親ディレクトリのシンボリックリンクがドロップされず、パス制限をバイパスできました。シンボリックリンクをマウントされたディレクトリ(例えば、ローカルベンダーのテーマの themes/ の下)内に配置できる、またはサイト作成者を誘導する攻撃者が、resources などの直接検索を実行する関数を引き起こす可能性があります。Get と os。ReadFile を使用して、シンボリックリンクに従い、意図されたプロジェクト境界の外のファイルを読み取り、ビルドサイトでコンテンツを漏洩させます。GitHubからフェッチされるGoモジュールとしてマウントされたテーマは、ダウンロード時にシンボリックリンクが削除されるため影響を受けません。また、マルチディレクトリウォーク(コンテンツ/アセットウォーキングなど)は影響を受けません。この問題は、GHSA-c3wq-j5vh-68rc および GHSA-fw87-fv5r-9fpw の不完全な修正のフォローアップです。これはv0.165.0で修正されています。(CVE-2026-89258)

Nessus は、ベンダーから報告されたパッケージの存在に依存していることに注意してください。

The Linux/Unix host has one or more packages installed that are impacted by a vulnerability without a vendor supplied patch available.

  - Hugo is a static site generator. In versions after v0.123.0 and before v0.165.0, symlinks in parent     directories were not dropped during direct resource lookups, allowing path confinement to be bypassed. An     attacker who can place  or who convinces a site author to place  a symlink inside a mounted directory     (for example, in a locally vendored theme under themes/) can cause functions that perform direct lookups,     such as resources.Get and os.ReadFile, to follow that symlink and read files outside the intended project     boundaries, disclosing their contents in the built site. Themes mounted as Go modules fetched from GitHub     have symlinks stripped on download and are not affected, and multi-directory walks (e.g. content/asset     walking) are not affected. This issue is an incomplete-fix follow-up to GHSA-c3wq-j5vh-68rc and GHSA-     fw87-fv5r-9fpw; it is fixed in v0.165.0. (CVE-2026-89258)

Note that Nessus relies on the presence of the package as reported by the vendor.

ID	名稱	產品	系列	已發布	已更新	嚴重性
344907	Linux Distros 未修补的漏洞：CVE-2026-89258	Nessus	Misc.	2026/9/11	2026/11/10	critical
344907	Linux Distros 未修補弱點：CVE-2026-89258	Nessus	Misc.	2026/9/11	2026/11/10	critical
344907	Linux Distros のパッチ未適用の脆弱性: CVE-2026-89258	Nessus	Misc.	2026/9/11	2026/11/10	critical
344907	Linux Distros Unpatched Vulnerability : CVE-2026-89258	Nessus	Misc.	2026/9/11	2026/11/10	critical

偵測

搜尋 Plugin

critical

critical

critical

critical