根据其自我报告的版本号，Moment.js 是 2.29.2 或更高版本但 2.31.0低于 . 因此，它可能受到 moment.locale（） 函数中的一个路径遍历漏洞的影响。当应用程序将受攻击者影响的非字符串值作为区域设置名称传递时，构建的对象可绕过引入的区域设置名称验证以修复 CVE-2022-24785，从而导致Moment.js从攻击者选择的路径加载文件。仅服务器端 （npm） 使用会受到影响。（CVE-2026-17495）

请注意，扫描程序并未测试这些问题，而是仅依据应用程序自我报告的版本号进行判断。

自己報告されたバージョン番号によると、Moment.js は 2.29.2 以降ですが 2.31.0 より前です。したがって、moment.locale() 関数のパストラバーサルの脆弱性の影響を受ける可能性があります。アプリケーションが攻撃者の影響を受けた非文字列値をロケール名として渡すとき、細工されたオブジェクトが、 CVE-2022-24785を修正するために導入されたロケール名の検証をバイパスし、Moment.js攻撃者が選択したパスからファイルをロードする可能性があります。サーバー側(npm)の使用のみが影響を受けます。(CVE-2026-17495)

スキャナーはこれらの問題のテストを行っておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

根據其自我報告的版本號，Moment.js 是 2.29.2 或更新版本，但早於 2.31.0。因此，它可能會受到moment.locale（）函式中的路徑遍歷漏洞的影響。當應用程式傳遞受攻擊者影響的非字串值作為地區設定名稱時，特製的物件可以繞過為修正 CVE-2022-24785而引入的地區設定名稱驗證，導致Moment.js從攻擊者選擇的路徑載入檔案。只有伺服器端 （npm） 使用受到影響。（CVE-2026-17495）

請注意，掃描器程式並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

According to its self-reported version number, Moment.js is 2.29.2 or later but prior to 2.31.0. Therefore, it may be affected by a path traversal vulnerability in the moment.locale() function. When an application passes an attacker-influenced non-string value as locale name, a crafted object can bypass the locale name validation introduced to fix CVE-2022-24785, causing Moment.js to load a file from an attacker-chosen path. Only server-side (npm) usage is affected. (CVE-2026-17495)

Note that the scanner has not tested for these issues but has instead relied only on the application's self-reported version number.

There are packages installed that are affected by a vulnerability referenced in the following CVE:

  - moment is a JavaScript date library for parsing, validating, manipulating, and formatting dates. In
    versions 2.29.2 through 2.30.1, a specially crafted non-string object passed to moment.locale() can bypass
    the locale-name path-traversal guard. The guard assumes the input is a string, so an object whose match()
    method satisfies the check while its toString() returns a traversal path reaches an internal require()
    call with attacker-controlled path segments. This is an incomplete fix for CVE-2022-24785 and primarily
    affects npm (server-side) users that pass user-provided input directly to moment.locale(). The issue is
    fixed in moment 2.31.0, and users should upgrade to 2.31.0 or later. As a workaround, validate that any
    user-supplied input is a string before passing it to moment.locale(). (CVE-2026-17495)

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - moment 是用于解析、验证、操纵和格式化日期的 JavaScript 日期库。在 的2.30.1版本2.29.2中，传递到 moment.locale（） 的特别构建的非字符串对象可绕过 locale-name 路径遍历防护。防护假设输入是字符串，因此其 match（） 方法满足检查，同时其 toString（） 返回遍历路径的对象会到达具有攻击者控制的路径段的内部 require（） 调用。这是 CVE-2022-24785 不完整的补丁，并且主要影响将用户提供的输入直接传递到 moment.locale（） 的 npm（服务器端）用户。此问题已在 moment 2.31.0中修复，用户应升级到 2.31.0 或更高版本。作为变通方案，在将用户提供的任何输入传递到 moment.locale（） 之前，验证其是否为字符串。（CVE-2026-17495）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且供應商未提供可用的修補程式。

  - moment 是一個 JavaScript 日期庫，用於剖析、驗證、操作和格式化日期。在 的2.30.1版本2.29.2中，傳遞給 moment.locale（） 的特製非字串物件可以繞過 locale-name 路徑遊走保護。防護程式會假設輸入是字串，因此物件的 match（） 方法滿足檢查，而其 toString（） 傳回周遊路徑時，會以攻擊者控制的路徑區段到達內部 require（） 呼叫。這是不完整的修正 CVE-2022-24785 ，主要影響將使用者提供的輸入直接傳遞至 moment.locale（） 的 npm （伺服器端） 使用者。該問題已立即 2.31.0解決，用戶應升級到 2.31.0 或更高版本。作為因應措施，請先驗證任何使用者提供的輸入是否為字串，再將其傳遞至 moment.locale（）。（CVE-2026-17495）

請注意，Nessus 的判定取決於廠商所報告的套件是否存在。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - moment は日付を解析、検証、操作、およびフォーマットするための JavaScript 日付ライブラリです。2.29.2 から 2.30.1 までのバージョンでは、特別に細工された非文字列オブジェクトが moment.locale() に渡されると、locale-name のパストラバーサルガードがバイパスされる可能性があります。ガードは入力が文字列であると想定します。したがって、match() メソッドがチェックを満たし、その toString() がトラバーサルパスを返すオブジェクトは、攻撃者が制御するパスセグメントを持つ内部の require() 呼び出しに到達します。これは、 CVE-2022-24785 に対する不完全な修正であり、主にユーザー指定の入力を moment.locale() に直接渡す npm(サーバー側)ユーザーに影響を与えます。この問題は即 2.31.0修正されるため、ユーザーは 2.31.0 以降にアップグレードする必要があります。回避策として、ユーザー指定の入力が文字列であることを検証してから、moment.locale() に渡してください。(CVE-2026-17495)

Nessus は、ベンダーから報告されたパッケージの存在に依存していることに注意してください。

The Linux/Unix host has one or more packages installed that are impacted by a vulnerability without a vendor supplied patch available.

  - moment is a JavaScript date library for parsing, validating, manipulating, and formatting dates. In     versions 2.29.2 through 2.30.1, a specially crafted non-string object passed to moment.locale() can bypass     the locale-name path-traversal guard. The guard assumes the input is a string, so an object whose match()     method satisfies the check while its toString() returns a traversal path reaches an internal require()     call with attacker-controlled path segments. This is an incomplete fix for CVE-2022-24785 and primarily     affects npm (server-side) users that pass user-provided input directly to moment.locale(). The issue is     fixed in moment 2.31.0, and users should upgrade to 2.31.0 or later. As a workaround, validate that any     user-supplied input is a string before passing it to moment.locale(). (CVE-2026-17495)

Note that Nessus relies on the presence of the package as reported by the vendor.

ID	Name	Product	Family	Published	Updated	Severity
115563	Moment.js 2.29.2 < 2.31.0 路径遍历	Web App Scanning	Component Vulnerability	10/2/2026	10/2/2026	medium
115563	Moment.js 2.29.2 < 2.31.0 パストラバーサル	Web App Scanning	Component Vulnerability	10/2/2026	10/2/2026	medium
115563	Moment.js 2.29.2 < 2.31.0 路徑遊走	Web App Scanning	Component Vulnerability	10/2/2026	10/2/2026	medium
115563	Moment.js 2.29.2 < 2.31.0 Path Traversal	Web App Scanning	Component Vulnerability	10/2/2026	10/2/2026	medium
464803	Echo: moment: security update to 2.31.0	Tenable Self-Hosted Container Security	Echo Local Security Checks	10/2/2026	10/5/2026	medium
464803	Echo: moment: security update to 2.31.0	Tenable Cloud Security	Echo Local Security Checks	10/2/2026	10/5/2026	medium
345872	Linux Distros 未修补的漏洞：CVE-2026-17495	Nessus	Misc.	9/15/2026	11/6/2026	medium
345872	Linux Distros 未修補弱點：CVE-2026-17495	Nessus	Misc.	9/15/2026	11/6/2026	medium
345872	Linux Distros のパッチ未適用の脆弱性: CVE-2026-17495	Nessus	Misc.	9/15/2026	11/6/2026	medium
345872	Linux Distros Unpatched Vulnerability : CVE-2026-17495	Nessus	Misc.	9/15/2026	11/6/2026	medium

Detections

Analytics

Plugins Search

medium

medium

medium

medium

medium

medium

medium

medium

medium

medium