Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且廠商未提供可用的修補程式。

  - gitoxide gix-transport before 0.59.2 無法篩選 git-daemon 連接要求中的控制字元，允許攻擊者透過特製的 git URL 插入 NUL/CR/LF 位元組。攻擊者可以注入額外的 NUL 分隔的通訊協定欄位來欺騙虛擬主機，或將新行插入到守護程式要求和記錄中。
    (CVE-2026-91986)

請注意，Nessus 依賴供應商報告的套件存在。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - gitoxide gix-transport 之前 0.59.2 无法过滤 git-daemon 连接请求中的控制字符，从而允许攻击者通过构建的 git URL 注入 NUL/CR/LF 字节。攻击者可注入额外的空字符分隔协议字段来欺骗虚拟主机，或在后台程序请求和日志中注入换行符。
    (CVE-2026-91986)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

リモートのopenSUSE 16ホストには、openSUSE- SU-2026:21955-1アドバイザリに記載されている脆弱性の影響を受けるパッケージがインストールされています。

    ジトキシドの変化:

    - CVE-2026-91986:細工された git URL パスを介して git-daemon 接続リクエストに gix-transport CR/LF/NUL を注入することにより、仮想ホストスプーフィングが可能です(boo#1281749)

Tenable は、前述の記述ブロックを SUSE セキュリティアドバイザリから直接抽出しています。

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートの openSUSE 16 ホストに、複数の脆弱性の影響を受けているパッケージがインストールされています。これらの脆弱性は openSUSE-SU-2026:22204-1 アドバイザリで言及されています。

    stgit での変更:

    - バージョン 2.7.0 への更新:
      * 明確なコマンドの短縮形を許可し、「stgit.infer-commands」でオプトインします。
      * 日付の git おおよそのスペルを受け入れます、たとえば 2 日前と @<epoch>; の相対日付は、現地のタイムゾーンに固定されるようになりました。
      * 「stgit.autoimerge」で「stg push」に対して「git mergetool」を実行します。
      * 「stg branch --create」のブランチ名として @ を拒否します。
      * gix を 0.89 に、MSRV を 1.88 に更新。
      * CVE-2026-91986:細工された git URL パス経由の git-daemon 接続リクエストへの gix-transport CR/LF/NUL インジェクション(boo#1281742)。
      * CVE-2026-109349、 CVE-2026-109350、 CVE-2026-109351:
        Pack バージョン 3 ヘッダー、OFS-Delta Base Distance、Pack Header Object Count による Gix-Pack のサービス拒否(boo#1285176)。

Tenable は、前述の記述ブロックを SUSE セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - 0.59.2 以前の gitoxide gix-transport は、git-daemon 接続リクエストの制御文字をフィルターできません。これにより、攻撃者が細工された git URL を介して NUL/CR/LF バイトを注入する可能性があります。攻撃者が、追加の NULL 区切りプロトコルフィールドを注入して、仮想ホストを偽装したり、デーモンのリクエストとログに改行を注入したりする可能性があります。
    (CVE-2026-91986)

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

リモートのopenSUSE 16ホストには、openSUSE- SU-2026:22126-1アドバイザリに記載されている脆弱性の影響を受けるパッケージがインストールされています。

    ジトキシドの変化:

    バージョン 0.60.0 への更新:

      * 速報:全画面表示の進行状況モードを削除: --progress と --progress-keep-open のフラグ、ならびに prodash-render-tui 機能がなくなり、行の進行状況が唯一の進行状況 UI のままになります
      * トレース出力は現在、バインドされた
        詳細および進捗レンダリングとは別の -t/--trace カウンター
      * gix ワークツリーを追加(alias create)およびワークツリーを削除
      * 様々なセキュリティの改善と、配管クレート全体でのエラー処理の一貫性が向上しました
    - ベンダーの依存関係をリフレッシュします。リンクされたグラフは、引き続き MPL-2.0 のみを伝送します (uluru、option-ext)。ライセンスタグは変更されていません。

    - gix-utils 0.5.0 dep にドロップされている明示的な prodash 機能を復元します:
      移行により、cargo-auditable が実行するワークスペース全体の cargo メタデータ --features 破損していました。

    バージョン 0.59.0 への更新:

      * git-daemon 接続リクエストで NUL/LF を拒否する gix-transport 0.60.0を出荷します:現在は upstream を修正している、 CVE-2026-91986 (boo#1281749)のバックポートされた修正をドロップ
        * gix-transport-reject-control-bytes.patch* Git 互換選択がある新しい gix エディターコマンド
      * Rust フロアを 1.88 に上げます(upstream MSRV、dua-core)

    - ベンダーの依存関係をリフレッシュします。リンクされたグラフは、引き続き MPL-2.0 のみを伝送します (uluru、option-ext)。ライセンスタグは変更されていません。

    0.58.0 に更新:

      * GIX チケットが、第 2 のパーサーおよびディスパッチャーの代わりに、plumbing コマンドに組み込まれた完全な gix-tickets プラットフォームになりました。このため、スタンドアロンおよび plumbing の呼び出しは同様に動作し、修正およびスピルは GIX チケットを介して到達できます
      * tickets は、他のメインまたはリンクされたワークツリーによってチェックアウトされたコミットを水色のname@ラベルでデコレーションし、オープン元のチェックアウトのマーカーを保持し、リンクされた HEAD およびワークツリーメンバーシップを監視して、デコレーションが最新の状態を維持するようにします
      * 非表示リビジョンの除外を弱めることなく、解決されたすべてのワークツリー HEAD をトラバーサルチップに追加するための -w/--worktrees チケットを獲得
      * GIX チケットは --screenを受け付けなくなりました:対話式履歴が常に代替画面を所有するため、自動およびハーフスクリーンモードが削除されました

    - ベンダーの依存関係をリフレッシュします。リンクされたグラフは、gix-tickets が新たに依存するディレクトリおよび dirs-sys クレートを介して到達した、2 番目の MPL-2.0 クレートである option-ext を取得します。ライセンスタグはすでに MPL-2.0 をカバーしており、変更されていません。

    0.57.0 に更新:

      * 完全な参照、HEAD または完全なオブジェクト id で名前が付けられた単一のリビジョンを複製するために、gix クローン --revision、 PrepareFetch::with_revision() を追加します:HEAD がフェッチされたコミットに対してデタッチされ、通常の参照が作成されず、フェッチ refspec が永続化されず、以下のタグが無効になります
      * 完全なオブジェクト ID が with_ref_name() に渡されたときのパニックを修正します。これにより、クローンが名前付けされることを期待するオブジェクト ID refspec マッピングが生成されます
      * git に従うように相対日付解析を書き換えます:2 日 3 時間前のように、いくつかのカウントと単位のペアが入力順に適用され、カウントはスペルアウトされ、英数字以外のバイトで各部分が区切り、末尾の ago はオプションで、先頭の @ はタイムスタンプを導入できます。月と年のステップがカレンダーフィールドを移動するようになり、短い対象月の終わりを過ぎた日は翌月に繰り越されます
      * gix コミット検証は、gpg 自体を生成するのではなく、ライブラリを通して署名をチェックするようになりました。このため、構成された gpg プログラムが尊重され、無効または信頼できない署名がそのように報告されます
      * gix リビジョン説明が印刷する競合ステージのラベルを修正します。これは、ステージ 0 ベースと呼ばれていました。彼らは今や対立せず、卑劣であり、私たちのものであり、彼らのものです
      * 子エントリが検証中にラッピングするのではなく、オーバーフローをカウントする TREE インデックス拡張を拒否します
      * jwalk ディレクトリウォーカーを dua-core と置換
    - ベンダーの依存関係をリフレッシュします。ライセンスセットに変更がありません。
      新しいベンダーツリーから再派生すると、Uluru(MPL-2.0)は依然としてバイナリにリンクされている唯一のコピーレフトクレートであり、新しい dua-core の依存関係は MIT です。

Tenable は、前述の記述ブロックを SUSE セキュリティアドバイザリから直接抽出しています。

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

The remote openSUSE 16 host has a package installed that is affected by a vulnerability as referenced in the openSUSE- SU-2026:22126-1 advisory.

    Changes in gitoxide:

    Update to version 0.60.0:

      * BREAKING: remove the full-screen progress mode: the --progress         and --progress-keep-open flags and the prodash-render-tui         feature are gone, line progress stays the only progress UI
      * Trace output is now independently configurable with a bounded
        -t/--trace counter, separate from verbose and progress rendering
      * Add gix worktree add (alias create) and worktree remove
      * Various security improvements and more consistent error         handling across the plumbing crates
    - Refresh the vendored dependencies. The linked graph still carries       MPL-2.0 only (uluru, option-ext); the License tag is unchanged.

    - Restore the explicit prodash feature dropped in the gix-utils 0.5.0 dep:
      migration, which broke workspace-wide cargo metadata --features as       run by cargo-auditable.

    Update to version 0.59.0:

      * Ships gix-transport 0.60.0, which rejects NUL/LF in         git-daemon connect requests: drops the backported fix         for CVE-2026-91986 (boo#1281749), now fixed upstream
        * gix-transport-reject-control-bytes.patch
      * New gix editor command with Git-compatible selection
      * Raise the Rust floor to 1.88 (upstream MSRV, dua-core)

    - Refresh the vendored dependencies. The linked graph       still carries MPL-2.0 only (uluru, option-ext); the       License tag is unchanged.

    Update to 0.58.0:

      * gix tix is now the full gix-tix platform embedded in the plumbing         command instead of a second parser and dispatcher, so standalone         and plumbing invocations behave alike and amend and spill are         reachable through gix tix
      * tix decorates commits checked out by other main or linked         worktrees with light-blue name@ labels, keeps the marker for the         checkout it was opened from, and watches linked HEAD and worktree         membership so the decorations stay current
      * tix gained -w/--worktrees to add every resolved worktree HEAD to         the traversal tips without weakening hidden-revision exclusions
      * gix tix no longer accepts --screen: the interactive history always         owns the alternate screen, so the automatic and half-screen modes         were removed

    - Refresh the vendored dependencies. The linked graph gains a second       MPL-2.0 crate, option-ext, reached through the directories and       dirs-sys crates that gix-tix newly depends on; the License tag       already covers MPL-2.0 and is unchanged.

    Update to 0.57.0:

      * Add gix clone --revision, and PrepareFetch::with_revision(), for         cloning a single revision named by a full ref, HEAD or a full         object id: HEAD is detached to the fetched commit, no ordinary         refs are created, no fetch refspec is persisted and tag         following is disabled
      * Fix a panic when a full object id was passed to with_ref_name(),         which produced an object-id refspec mapping that clone expected         to be named
      * Rewrite relative date parsing to follow git: several count and         unit pairs are applied in input order, as in 2 days 3 hours         ago, counts may be spelled out, any non-alphanumeric byte         separates the parts, the trailing ago is optional, and a         leading @ may introduce a timestamp. Month and year steps now         walk the calendar fields, so a day past the end of the shorter         target month rolls over into the following month
      * gix commit verify now checks signatures through the library         rather than spawning gpg itself, so the configured gpg program         is honoured and an invalid or untrusted signature is reported         as such
      * Fix the conflict stage labels printed by gix revision explain,         which called stage 0 base; they are now unconflicted, base,         ours and theirs
      * Reject a TREE index extension whose child entry counts overflow         instead of wrapping while verifying them
      * Replace the jwalk directory walker with dua-core
    - Refresh the vendored dependencies. The licence set is unchanged:
      re-derived over the new vendor tree, uluru (MPL-2.0) is still the       only copyleft crate linked into the binaries, and the new dua-core       dependency is MIT.

Tenable has extracted the preceding description block directly from the SUSE security advisory.

Note that Nessus has not tested for this issue but has instead relied only on the application's self-reported version number.

The remote openSUSE 16 host has a package installed that is affected by a vulnerability as referenced in the openSUSE- SU-2026:21955-1 advisory.

    Changes in gitoxide:

    - CVE-2026-91986: gix-transport CR/LF/NUL injection into       git-daemon connect request via crafted git URL path,       allowing virtual-host spoofing (boo#1281749)

Tenable has extracted the preceding description block directly from the SUSE security advisory.

Note that Nessus has not tested for this issue but has instead relied only on the application's self-reported version number.

The remote openSUSE 16 host has packages installed that are affected by multiple vulnerabilities as referenced in the openSUSE-SU-2026:22204-1 advisory.

    Changes in stgit:

    - Update to version 2.7.0:
      * Allow unambiguous command shorthands, opt-in with         `stgit.infer-commands`.
      * Accept git approxidate spellings for dates, e.g. 2 days ago         and @<epoch>; relative dates are now anchored in the local         time zone.
      * Run `git mergetool` for `stg push` with `stgit.autoimerge`.
      * Reject @ as a branch name for `stg branch --create`.
      * Bump gix to 0.89 and MSRV to 1.88.
      * CVE-2026-91986: gix-transport CR/LF/NUL injection into         git-daemon connect request via crafted git URL path         (boo#1281742).
      * CVE-2026-109349, CVE-2026-109350, CVE-2026-109351:
        gix-pack denial of service via pack version 3 header,         ofs-delta base distance and pack header object count         (boo#1285176).

Tenable has extracted the preceding description block directly from the SUSE security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

The Linux/Unix host has one or more packages installed that are impacted by a vulnerability without a vendor supplied patch available.

  - gitoxide gix-transport before 0.59.2 fails to filter control characters in git-daemon connect requests,     allowing attackers to inject NUL/CR/LF bytes via crafted git URLs. Attackers can inject extra NUL-     delimited protocol fields to spoof virtual hosts or inject newlines into daemon requests and logs.
    (CVE-2026-91986)

Note that Nessus relies on the presence of the package as reported by the vendor.

ID	Name	Product	Family	Published	Updated	Severity
345970	Linux Distros 未修補弱點：CVE-2026-91986	Nessus	Misc.	9/15/2026	11/10/2026	medium
345970	Linux Distros 未修补的漏洞：CVE-2026-91986	Nessus	Misc.	9/15/2026	11/10/2026	medium
350773	openSUSE 16 セキュリティ更新:gitoxide(openSUSE-SU-2026:21955-1)	Nessus	SuSE Local Security Checks	9/26/2026	9/26/2026	medium
374759	openSUSE 16:stgit / stgit-bash-completion / stgit-emacs / stgit-fish-completion / etc(openSUSE-SU-2026:22204-1)	Nessus	SuSE Local Security Checks	11/1/2026	11/1/2026	high
345970	Linux Distros のパッチ未適用の脆弱性: CVE-2026-91986	Nessus	Misc.	9/15/2026	11/10/2026	medium
370426	openSUSE 16 セキュリティ更新:gitoxide(openSUSE-SU-2026:22126-1)	Nessus	SuSE Local Security Checks	10/22/2026	10/22/2026	medium
370426	openSUSE 16 Security Update : gitoxide (openSUSE-SU-2026:22126-1)	Nessus	SuSE Local Security Checks	10/22/2026	10/22/2026	medium
350773	openSUSE 16 Security Update : gitoxide (openSUSE-SU-2026:21955-1)	Nessus	SuSE Local Security Checks	9/26/2026	9/26/2026	medium
374759	openSUSE 16: stgit / stgit-bash-completion / stgit-emacs / stgit-fish-completion / etc (openSUSE-SU-2026:22204-1)	Nessus	SuSE Local Security Checks	11/1/2026	11/1/2026	high
345970	Linux Distros Unpatched Vulnerability : CVE-2026-91986	Nessus	Misc.	9/15/2026	11/10/2026	medium

Detections

Analytics

Plugins Search

medium

medium

medium

high

medium

medium

medium

medium

high

medium