Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且供應商未提供可用的修補程式。

  - Composer 是 PHP 語言的相依性管理員。從 1.0 until 2.2.30 和 2.10.3，來自自訂 Composer 存放庫或不受信任的 composer.lock 檔案的惡意相依性套件可能會將 source.type 設為 perforce，並將 source.url 設為 rsh： 或 jsh： P4PORT 值。當安裝 Perforce p4 用戶端，並且 Composer 透過 Composer install 或 composer update （包括 --prefer-source），從來源安裝套件時，Composer\Util\Perforce 未經驗證就將位址傳遞給 p4，導致 p4 以使用者或 CI 帳戶的權限執行本機命令。Packagist.org 不允許 Perforce 來源中繼資料。此問題已在 2.2.30 和 2.10.3 版中修正。(CVE-2026-84361)

請注意，Nessus 的判定取決於廠商所報告的套件是否存在。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - Composer 是 PHP 语言的依存关系管理器。从 1.0 until 2.2.30 和 2.10.3，自定义 Composer 存储库或不受信任的 composer.lock 文件中的恶意依存关系程序包可将 source.type 设置为 perforce，并将 source.url 设置为 rsh： 或 jsh： P4PORT 值。当安装 Perforce p4 客户端并且 Composer 通过 Composer 安装或 Composer 更新从源安装程序包时， --prefer-sourceComposer\Util\Perforce 在未经验证的情况下将地址传递到 p4，从而导致 p4 以用户或 CI 帐户的权限运行本地命令。Packagist.org 不允许 Perforce 源元数据。此问题已在 2.2.30 和 2.10.3 版本中得到修补。(CVE-2026-84361)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

リモートの Fedora 43 ホストには、FEDORA-2026-0425df0537 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    ### バージョン 2.10.3 - 2026 年 8 月 27 日

      * **セキュリティ**:シンボリックリンクを使用するパストラバーサルに対してパッケージ bin パスを検証します(GHSA-96h3-5x6v-m776、 CVE-2026-59944)
      * **セキュリティ**:悪意のある Perforce URL を介したコマンドインジェクションを修正しました(GHSA-rvx4-ffvw-m9q3)
      * **セキュリティ**:URL に埋め込まれたユーザー名/トークンをさらにいくつかの場所でサニタイズします(#13044)
      * **セキュリティ**:間違ったドメインへの資格情報の漏えいの可能性を回避するためにgitlab URLの一致を修正しました(#12988)
      * PHP 8.6 廃止予定警告を修正しました(#12967、 #13028)
      * ポリシーがパッケージバージョンをブロックする際のエラー出力を修正し、より明確にします(#12993)
      * 実行時に破壊されてしまう競合マーカー付きのロックファイルの content-hash を修正しました(#13048)
      * 複数の Composer プロセスを並行して実行する際のキャッシュディレクトリなどのディレクトリの作成中に発生する可能性がある競合状態を修正しました(#12977)
      * 空のリポジトリをより適切に処理するために forgejo サポートを修正しました(#12968)
      * FilterListApiClient が転送オプションを転送しない問題を修正しました(#13040)



Tenable は、前述の記述ブロックを Fedora セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートの Fedora 44 ホストには、FEDORA-2026-5995821369 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    ### バージョン 2.10.3 - 2026 年 8 月 27 日

      * **セキュリティ**:シンボリックリンクを使用するパストラバーサルに対してパッケージ bin パスを検証します(GHSA-96h3-5x6v-m776、 CVE-2026-59944)
      * **セキュリティ**:悪意のある Perforce URL を介したコマンドインジェクションを修正しました(GHSA-rvx4-ffvw-m9q3)
      * **セキュリティ**:URL に埋め込まれたユーザー名/トークンをさらにいくつかの場所でサニタイズします(#13044)
      * **セキュリティ**:間違ったドメインへの資格情報の漏えいの可能性を回避するためにgitlab URLの一致を修正しました(#12988)
      * PHP 8.6 廃止予定警告を修正しました(#12967、 #13028)
      * ポリシーがパッケージバージョンをブロックする際のエラー出力を修正し、より明確にします(#12993)
      * 実行時に破壊されてしまう競合マーカー付きのロックファイルの content-hash を修正しました(#13048)
      * 複数の Composer プロセスを並行して実行する際のキャッシュディレクトリなどのディレクトリの作成中に発生する可能性がある競合状態を修正しました(#12977)
      * 空のリポジトリをより適切に処理するために forgejo サポートを修正しました(#12968)
      * FilterListApiClient が転送オプションを転送しない問題を修正しました(#13040)



Tenable は、前述の記述ブロックを Fedora セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - Composer は、PHP 言語の依存関係マネージャーです。1.0から2.2.302.10.3まで、カスタムComposerリポジトリからの悪意のある依存関係パッケージまたは信頼できないcomposer.lockファイルが、source.typeをperforceに、source.urlをrsh:またはjsh: P4PORT値に設定する可能性があります。Perforce p4 クライアントがインストールされ、Composer が composer インストールまたは composer 更新 ( --prefer-source も含む) を通じてソースからパッケージをインストールすると、Composer\Util\Perforce が検証せずにアドレスを p4 に渡したため、p4 はユーザーまたは CI アカウントの権限でローカルコマンドを実行しました。Packagist.org では、Perforce ソースメタデータは許可されません。この問題はバージョン 2.2.30および 2.10.3で修正されています。(CVE-2026-84361)

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

The Linux/Unix host has one or more packages installed that are impacted by a vulnerability without a vendor supplied patch available.

  - Composer is a dependency Manager for the PHP language. From 1.0 until 2.2.30 and 2.10.3, a malicious     dependency package from a custom Composer repository or an untrusted composer.lock file could set     source.type to perforce and source.url to an rsh: or jsh: P4PORT value. When the Perforce p4 client was     installed and Composer installed the package from source through composer install or composer update,     including --prefer-source, Composer\Util\Perforce passed the address to p4 without validation, causing p4     to run a local command with the privileges of the user or CI account. Packagist.org does not permit     Perforce source metadata. This issue is fixed in versions 2.2.30 and 2.10.3. (CVE-2026-84361)

Note that Nessus relies on the presence of the package as reported by the vendor.

The remote Fedora 43 host has a package installed that is affected by multiple vulnerabilities as referenced in the FEDORA-2026-0425df0537 advisory.

    ### Version 2.10.3 - 2026-08-27

      * **Security**: Validate package bin paths against path traversal using symlinks (GHSA-96h3-5x6v-m776,     CVE-2026-59944)
      * **Security**: Fixed command injection via malicious Perforce url (GHSA-rvx4-ffvw-m9q3)
      * **Security**: Sanitize URL-embedded usernames/token in a few more places (#13044)
      * **Security**: Fixed matching of gitlab URLs to avoid possible credential leak to the wrong domain     (#12988)
      * Fixed PHP 8.6 deprecation warnings (#12967, #13028)
      * Fixed error output when a policy blocks a package version to be clearer (#12993)
      * Fixed the lock file's content-hash with a conflict marker ending up breaking at runtime (#13048)
      * Fixed possible race condition while creating directories like the cache dir when running multiple     Composer processes in parallel (#12977)
      * Fixed forgejo support to handle empty repositories better (#12968)
      * Fixed FilterListApiClient not forwarding transport options (#13040)



Tenable has extracted the preceding description block directly from the Fedora security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

The remote Fedora 44 host has a package installed that is affected by multiple vulnerabilities as referenced in the FEDORA-2026-5995821369 advisory.

    ### Version 2.10.3 - 2026-08-27

      * **Security**: Validate package bin paths against path traversal using symlinks (GHSA-96h3-5x6v-m776,     CVE-2026-59944)
      * **Security**: Fixed command injection via malicious Perforce url (GHSA-rvx4-ffvw-m9q3)
      * **Security**: Sanitize URL-embedded usernames/token in a few more places (#13044)
      * **Security**: Fixed matching of gitlab URLs to avoid possible credential leak to the wrong domain     (#12988)
      * Fixed PHP 8.6 deprecation warnings (#12967, #13028)
      * Fixed error output when a policy blocks a package version to be clearer (#12993)
      * Fixed the lock file's content-hash with a conflict marker ending up breaking at runtime (#13048)
      * Fixed possible race condition while creating directories like the cache dir when running multiple     Composer processes in parallel (#12977)
      * Fixed forgejo support to handle empty repositories better (#12968)
      * Fixed FilterListApiClient not forwarding transport options (#13040)



Tenable has extracted the preceding description block directly from the Fedora security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

ID	Name	Product	Family	Published	Updated	Severity
342504	Linux Distros 未修補弱點：CVE-2026-84361	Nessus	Misc.	9/3/2026	9/3/2026	high
342504	Linux Distros 未修补的漏洞：CVE-2026-84361	Nessus	Misc.	9/3/2026	9/3/2026	high
342928	Fedora 43:composer(2026-0425df0537)	Nessus	Fedora Local Security Checks	9/4/2026	9/4/2026	high
343055	Fedora 44:composer(2026-5995821369)	Nessus	Fedora Local Security Checks	9/5/2026	9/5/2026	high
342504	Linux Distros のパッチ未適用の脆弱性: CVE-2026-84361	Nessus	Misc.	9/3/2026	9/3/2026	high
342504	Linux Distros Unpatched Vulnerability : CVE-2026-84361	Nessus	Misc.	9/3/2026	9/3/2026	high
342928	Fedora 43 : composer (2026-0425df0537)	Nessus	Fedora Local Security Checks	9/4/2026	9/4/2026	high
343055	Fedora 44 : composer (2026-5995821369)	Nessus	Fedora Local Security Checks	9/5/2026	9/5/2026	high

Detections

Analytics

Plugins Search

high

high

high

high

high

high

high

high