There are packages installed that are affected by a vulnerability referenced in the following CVE:

  - Poetry is a dependency manager for Python. When handling dependencies that come from a Git repository
    instead of a registry, Poetry uses various commands, such as `git clone`. These commands are constructed
    using user input (e.g. the repository URL). When building the commands, Poetry correctly avoids Command
    Injection vulnerabilities by passing an array of arguments instead of a command string. However, there is
    the possibility that a user input starts with a dash (`-`) and is therefore treated as an optional
    argument instead of a positional one. This can lead to Code Execution because some of the commands have
    options that can be leveraged to run arbitrary executables. If a developer is exploited, the attacker
    could steal credentials or persist their access. If the exploit happens on a server, the attackers could
    use their access to attack other internal systems. Since this vulnerability requires a fair amount of user
    interaction, it is not as dangerous as a remotely exploitable one. However, it still puts developers at
    risk when dealing with untrusted files in a way they think is safe, because the exploit still works when
    the victim tries to make sure nothing can happen, e.g. by vetting any Git or Poetry config files that
    might be present in the directory. Versions 1.1.9 and 1.2.0b1 contain patches for this issue.
    (CVE-2022-36069)

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且廠商未提供可用的修補程式。

  - Poetry 是 Python 的相依性管理員。處理來自 Git 存放庫而非登錄檔的相依性時Poetry 會使用多種命令例如 `git clone`。這些命令是使用使用者輸入 (例如存放庫 URL) 建構的。在構建命令時Poetry 透過傳遞引數陣列 (而非命令字串) 正確避免了命令插入弱點。不過使用者輸入有可能以破折號 (`-`) 開頭因此會被視為選用引數而非位置引數。這可導致程式碼執行因為某些命令具有可遭利用來執行任意可執行檔的選項。如果開發人員遭到惡意利用攻擊者可竊取認證或維持其存取權。如果惡意利用發生在伺服器上攻擊者可利用其存取權攻擊其他內部系統。由於此弱點需要大量使用者互動因此不如可從遠端惡意利用的弱點危險。但是當開發人員以他們認為安全的方式處理未受信任的檔案時它仍然會將開發人員置於危險之中因為當受害者嘗試確保沒有任何事情會發生例如檢查可能存在的 Git 或 Poetry 組態檔案時惡意利用仍然存在。目錄中。 1.1.9 和 1.2.0b1 版包含此問題的修補程式。
    (CVE-2022-36069)

請注意，Nessus 依賴供應商報告的套件存在。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - Poetry 是 Python 的依存关系管理器。处理来自 Git 存储库而非注册表的依存关系时Poetry 会使用各种命令例如“git clone”。这些命令使用用户的输入（例如存储库的 URL）构建。构建命令时Poetry 会传递参数数组而非命令字符串从而正确避免命令注入漏洞。但是用户输入可能以破折号 (`-`) 开头因此被视为可选参数而不是位置参数。这可导致代码执行因为某些命令具有可用于运行任意可执行文件的选项。如果开发人员的漏洞被利用，攻击者可窃取凭据或持续访问。如果漏洞发生在服务器上攻击者可能会利用其访问权限攻击其他内部系统。由于此漏洞需要大量的用户交互，因此它不像可远程利用的漏洞那么危险。然而当开发人员以自认为安全的方式处理不受信任的文件时它仍然将开发人员置于危险中因为当受害者尝试确保不会发生任何事情时此漏洞利用仍然会运作例如通过审查可能存在的 Git 或 Poetry 配置文件目录中的 。版本 1.1.9 和 1.2.0b1 包含针对此问题的修补程序。
    (CVE-2022-36069)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - Poetry は Python 用の依存関係マネージャーです。レジストリではなく Git リポジトリからの依存関係を処理する際に、Poetry は「git clone」などの様々なコマンドを使用します。これらのコマンドは、ユーザー入力 (リポジトリ URL など) を使用して構築されます。コマンドを構築する際、Poetry はコマンド文字列の代わりに引数の配列を渡すことで、コマンドインジェクションの脆弱性を適切に回避します。ただし、ユーザー入力はダッシュ「-」で始まるため、位置引数ではなくオプションの引数として扱われる可能性があります。一部のコマンドには、任意の実行可能ファイルを実行するために利用できるオプションがあるため、これによりコード実行が発生する可能性があります。開発者が悪用された場合、攻撃者が認証情報を盗んだり、アクセスを継続したりする可能性があります。サーバーで悪用が発生した場合、攻撃者がアクセス権を使用して他の内部システムを攻撃する可能性があります。この脆弱性には十分な量のユーザーインタラクションが必要であるため、リモートで悪用できる脆弱性としては危険ではありません。ただし、被害者が存在する可能性のある Git または Poetry の構成ファイルを veチェックすることにより、被害者が何も発生しないことを確認しようとする際に悪用は依然として機能するため、安全であると考えられる方法で信頼できないファイルを処理する際には、開発者は依然として危険にさらされます。ディレクトリにあります。バージョン 1.1.9 および 1.2.0b1 には、この問題用のパッチが含まれています。
    (CVE-2022-36069)

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

The Linux/Unix host has one or more packages installed that are impacted by a vulnerability without a vendor supplied patch available.

  - Poetry is a dependency manager for Python. When handling dependencies that come from a Git repository     instead of a registry, Poetry uses various commands, such as `git clone`. These commands are constructed     using user input (e.g. the repository URL). When building the commands, Poetry correctly avoids Command     Injection vulnerabilities by passing an array of arguments instead of a command string. However, there is     the possibility that a user input starts with a dash (`-`) and is therefore treated as an optional     argument instead of a positional one. This can lead to Code Execution because some of the commands have     options that can be leveraged to run arbitrary executables. If a developer is exploited, the attacker     could steal credentials or persist their access. If the exploit happens on a server, the attackers could     use their access to attack other internal systems. Since this vulnerability requires a fair amount of user     interaction, it is not as dangerous as a remotely exploitable one. However, it still puts developers at     risk when dealing with untrusted files in a way they think is safe, because the exploit still works when     the victim tries to make sure nothing can happen, e.g. by vetting any Git or Poetry config files that     might be present in the directory. Versions 1.1.9 and 1.2.0b1 contain patches for this issue.
    (CVE-2022-36069)

Note that Nessus relies on the presence of the package as reported by the vendor.

ID	Name	Product	Family	Published	Updated	Severity
413556	SCA: security update for poetry (GHSA-9xgj-fcgf-x6mw)	Tenable Self-Hosted Container Security	SCA Checks	1/23/2025	7/2/2026	high
413556	SCA: security update for poetry (GHSA-9xgj-fcgf-x6mw)	Tenable Cloud Security	SCA Checks	1/23/2025	7/2/2026	high
256416	Linux Distros 未修補的弱點：CVE-2022-36069	Nessus	Misc.	8/27/2025	8/27/2026	high
256416	Linux Distros 未修补的漏洞：CVE-2022-36069	Nessus	Misc.	8/27/2025	8/27/2026	high
256416	Linux Distros のパッチ未適用の脆弱性: CVE-2022-36069	Nessus	Misc.	8/27/2025	8/27/2026	high
256416	Linux Distros Unpatched Vulnerability : CVE-2022-36069	Nessus	Misc.	8/27/2025	8/27/2026	high

Detections

Analytics

Plugins Search

high

high

high

high

high

high