There are packages installed that are affected by a vulnerability referenced in the following CVE:

  - Dulwich is a pure-Python implementation of the Git file formats and protocols. Starting in version 0.23.2
    and prior to version 1.2.5, `dulwich.porcelain.submodule_update`, and by extension `porcelain.clone(...,
    recurse_submodules=True)`, materializes attacker-controlled submodule paths from a crafted upstream
    repository without path validation. A malicious `.gitmodules` plus a matching tree gitlink whose `path` is
    `.git/hooks` (or any other directory inside the parent repository's `.git` directory) causes the
    attacker's submodule tree contents to be written directly into the victim's `.git/hooks/` directory,
    preserving executable mode bits. The dropped executables are then run by any subsequent `git` or `dulwich`
    command that invokes the matching hook, resulting in arbitrary code execution. This is the dulwich
    equivalent of the upstream Git fixes for CVE-2024-32002 / CVE-2024-32004, which were never propagated into
    dulwich's separately implemented submodule porcelain. Version 1.2.5 patches the issue. (CVE-2026-52726)

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且供應商未提供可用的修補程式。

  - Dulwich 是 Git 檔案格式和通訊協定的純 Python 實作。從版本和之前1.2.5的版本0.23.2開始，'dulwich.porcelain.submodule_update' 以及延伸的 'porcelain.clone（...， recurse_submodules=True）'，從特製的上游存放庫實現攻擊者控制的子模組路徑，而無需路徑驗證。惡意的「.gitmodules」加上「路徑」為「.git/hooks」（或父存放庫「.git」目錄內的任何其他目錄）的相符樹狀結構 gitlink，會導致攻擊者的子模組樹狀結構內容直接寫入受害者的「.git/hooks/」目錄，從而保留可執行模式位元。然後，任何後續叫用相符勾點的「git」或「dulwich」命令會執行捨棄的可執行檔，從而導致任意程式碼執行。這相當於 / CVE-2024-32004的CVE-2024-32002上游 Git 修正，從未傳播到 dulwich 單獨實現的子模組 porcelain 中。版本 1.2.5 針對此問題提供了修補程式。(CVE-2026-52726)

請注意，Nessus 依賴供應商報告的套件存在。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - Dulwich 是 Git 文件格式和协议的纯 Python 实现。从版本 0.23.2 开始和更早的版本 1.2.5“dulwich.porcelain.submodule_update”以及扩展名“porcelain.clone（...， recurse_submodules=True）”将不经过路径验证即实现来自构建的上游存储库的攻击者控制的子模块路径。恶意“.gitmodules”加上“路径”为“.git/hooks”（或父存储库“.git”目录内的任何其他目录）的相匹配树 gitlink，造成攻击者的子模块树内容直接写入受害者的“.git/hooks/”目录，而保留可执行模式位。调用匹配挂钩的任何后续“git”或“dulwich”命令都会运行丢弃的可执行文件，从而导致任意代码执行。这是 dulwich 针对 / CVE-2024-32004的CVE-2024-32002上游 Git 补丁的等价物，从未传播到 dulwich 单独实现的子模块 porcelain 中。版本 1.2.5 针对此问题提供了补丁。(CVE-2026-52726)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - Dulwich は、Git ファイル形式とプロトコルの純粋な Python 実装です。バージョン 0.23.2 からバージョン 1.2.5 より前のバージョンでは、「dulwich.porcelain.submodule_update」、および拡張「porcelain.clone(..., recurse_submodules=True)」により、攻撃者がコントロールするサブモジュールパスが、パス検証なしで細工された上流リポジトリから具体化されます。悪意のある「.gitmodules」と、「パス」が「.git/hooks」(または親リポジトリの「.git」ディレクトリ内の他のディレクトリ)である一致するツリーgitlinkにより、攻撃者のサブモジュールツリーのコンテンツが、実行可能モードビットを保存したまま被害者の「.git/hooks/」ディレクトリに直接書き込まれます。ドロップされた実行可能ファイルは、マッチングフックを呼び出す後続の「git」または「dulwich」コマンドによって実行され、任意のコードが実行されます。これは、 CVE-2024-32002 / CVE-2024-32004 に対する Upstream Git 修正の dulwich に相当します。これは、dulwich の別途実装されたサブモジュール porcelain に反映されることはありませんでした。バージョン 1.2.5 はこの問題を修正します。(CVE-2026-52726)

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

The Linux/Unix host has one or more packages installed that are impacted by a vulnerability without a vendor supplied patch available.

  - Dulwich is a pure-Python implementation of the Git file formats and protocols. Starting in version 0.23.2     and prior to version 1.2.5, `dulwich.porcelain.submodule_update`, and by extension `porcelain.clone(...,     recurse_submodules=True)`, materializes attacker-controlled submodule paths from a crafted upstream     repository without path validation. A malicious `.gitmodules` plus a matching tree gitlink whose `path` is     `.git/hooks` (or any other directory inside the parent repository's `.git` directory) causes the     attacker's submodule tree contents to be written directly into the victim's `.git/hooks/` directory,     preserving executable mode bits. The dropped executables are then run by any subsequent `git` or `dulwich`     command that invokes the matching hook, resulting in arbitrary code execution. This is the dulwich     equivalent of the upstream Git fixes for CVE-2024-32002 / CVE-2024-32004, which were never propagated into     dulwich's separately implemented submodule porcelain. Version 1.2.5 patches the issue. (CVE-2026-52726)

Note that Nessus relies on the presence of the package as reported by the vendor.

ID	Name	Product	Family	Published	Updated	Severity
465406	Echo: dulwich: security update to 1.2.5	Tenable Cloud Security	Echo Local Security Checks	10/2/2026	10/5/2026	high
465406	Echo: dulwich: security update to 1.2.5	Tenable Self-Hosted Container Security	Echo Local Security Checks	10/2/2026	10/5/2026	high
320684	Linux Distros 未修補弱點：CVE-2026-52726	Nessus	Misc.	6/11/2026	11/6/2026	high
320684	Linux Distros 未修补的漏洞：CVE-2026-52726	Nessus	Misc.	6/11/2026	11/6/2026	high
320684	Linux Distros のパッチ未適用の脆弱性: CVE-2026-52726	Nessus	Misc.	6/11/2026	11/6/2026	high
320684	Linux Distros Unpatched Vulnerability : CVE-2026-52726	Nessus	Misc.	6/11/2026	11/6/2026	high

Detections

Analytics

Plugins Search

high

high

high

high

high

high