远程 Ubuntu 20.04 LTS/22.04 LTS/24.04 LTS 主机上安装的多个程序包受到 USN-7984-1 公告中提及的多个漏洞影响。

    Thomas Chauchefoin 发现 Pagure 未能正确处理 Git 存储库中的符号链接。远程攻击者可能利用此问题导致 Pagure 将文件暴露在预期的存储库边界之外。(CVE-2024-4981)

    Thomas Chauchefoin 发现 Pagure 未正确审查路径输入。远程攻击者可能利用此问题读取任意文件。(CVE-2024-4982)

    Thomas Chauchefoin 发现 Pagure 在创建仓库归档时对符号链接处理不当。
    远程攻击者可能利用此问题来泄露服务器上的本地文件。(CVE-2024-47515)

    Thomas Chauchefoin 发现 Pagure 错误地处理了某些输入。远程攻击者可能利用此问题在服务器上执行任意代码。(CVE-2024-47516)

Tenable 已直接从 Ubuntu 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

遠端 Debian 11 主機上安裝的多個套件受到 dla-4390 公告中提及的多個弱點影響。

    - ------------------------------------------------- ------------------------------------ Debian LTS 公告 DLA-4390-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Daniel Leidert 2025 年 12 月 1 日 https://wiki.debian.org/LTS-------------------------------------------------------------------------

    套件：pagure 版本：5.11.3+dfsg-1+deb11u1 CVE ID：CVE-2024-4981 CVE-2024-4982 CVE-2024-47515 CVE-2024-47516 Debian 錯誤：1091383


    在 Pagure (以 Git 為中心的程式碼託管系統 (forge)) 中發現多個弱點。


    CVE-2024-4981

       函式 _update_file_in_git() 遵循暫時復制中的符號連結。修復方式為：若檔案路徑超出暫存倉儲範圍，或位於「.git/」資料夾內部，則立即中止操作，以防止資料外洩，以及對檔案或 Git 設定檔的未經授權修改。

    CVE-2024-4982

       view_issue_raw_file() 中有路徑遊走問題。

    CVE-2024-47515

       函式 generate_archive() 遵循暫時復制中的符號連結。修復方式：zip 封存時應加入符號連結本身，而非其指向的內容。

    CVE-2024-47516

       修正擷取存放庫歷程記錄期間將其他選項插入 Git 命令行的問題，以防止遠端程式碼執行。


    針對 Debian 11 bullseye，這些問題已在 5.11.3+dfsg-1+deb11u1 版本中修正。

    建議您升級 pagure 套件。

    如需有關 pagure 安全性狀態的詳細資訊，請參閱其安全追蹤頁面：
    https://security-tracker.debian.org/tracker/pagure

    有關 Debian LTS 安全公告、如何將這些更新套用至您的系統以及常見問題的詳細資訊，請參閱：https://wiki.debian.org/LTSAttachment:signature.ascDescription: 這是數位簽署的訊息部分

Tenable 已直接從 Debian 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且供應商未提供可用的修補程式。

  - 在 Pagure 中發現一個弱點。擷取存放庫歷程記錄期間在 Git 中發生一個引數插入可導致在 Pagure 執行個體上執行遠端程式碼。 (CVE-2024-47516)

請注意，Nessus 的判定取決於廠商所報告的套件是否存在。

遠端 Ubuntu 20.04 LTS / 22.04 LTS / 24.04 LTS 主機上安裝的套件受到 USN-7984-1 公告中所提及的多個弱點影響。

    Thomas Chauchefoin 發現 Pagure 未正確處理 Git 存放庫中的符號連結。遠端攻擊者可能利用此問題，造成 Pagure 將檔案洩漏到預期的存放庫邊界。(CVE-2024-4981)

    Thomas Chauchefoin 發現 Pagure 未正確清理路徑輸入。遠端攻擊者可能利用此問題讀取任意檔案。(CVE-2024-4982)

    Thomas Chauchefoin 發現存放庫封存期間 Pagure 未正確處理符號連結。
    遠端攻擊者可能會利用此問題揭露伺服器上的本機檔案。(CVE-2024-47515)

    Thomas Chauchefoin 發現 Pagure 未正確處理特定輸入。遠端攻擊者可能會利用此問題在伺服器上執行任意程式碼。(CVE-2024-47516)

Tenable 已直接從 Ubuntu 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - 在 Pagure 中发现一个漏洞。检索存储库历史记录期间 Git 中的一个参数注入导致在 Pagure 实例上执行远程代码。 (CVE-2024-47516)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

远程 Debian 11 主机上安装的多个程序包受到 dla-4390 公告中提及的多个漏洞影响。

    ------------------------------------------------------------------------- Debian LTS 公告 DLA-4390-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Daniel Leidert 2025 年 12 月 1 日 https://wiki.debian.org/LTS-------------------------------------------------------------------------

    程序包: pagure 版本: 5.11.3+dfsg-1+deb11u1 CVE ID : CVE-2024-4981 CVE-2024-4982 CVE-2024-47515 CVE-2024-47516 Debian 缺陷: 1091383


    在以 Git 为中心的代码托管系统 (forge) 中发现多个漏洞。


    CVE-2024-4981

       _update_file_in_git() 函数跟随临时克隆文件中的符号链接。解决方案为在文件路径位于临时存储库之外或“.git/”文件夹内部时中止操作，以避免数据泄漏以及文件或 git 配置中在未经授权的情况下被更改。

    CVE-2024-4982

       view_issue_raw_file() 中存在路径遍历漏洞。

    CVE-2024-47515

       generate_archive() 函数跟随临时克隆文件中的符号链接。解决方案为向 zip 存档添加实际链接，而非目标内容。

    CVE-2024-47516

       修复了在检索存储库历史记录期间将其他选项注入 Git 命令行的问题，以防止远程代码执行。


    对于 Debian 11 bullseye，已在版本 5.11.3+dfsg-1+deb11u1 中修复这些问题。

    我们建议您升级 pagure 程序包。

    如需了解 pagure 的详细安全状态，请参阅其安全跟踪页面：
    https://security-tracker.debian.org/tracker/pagure

    有关 Debian LTS 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址: https://wiki.debian.org/LTSAttachment:signature.ascDescription: 此消息部分已经过数字签署

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

リモートの Ubuntu 20.04 LTS / 22.04 LTS / 24.04 LTS ホストには、USN-7984-1 のアドバイザリに記載されている複数の脆弱性の影響を受けるパッケージがインストールされています。

    Thomas Chauchefoin 氏は、Pagure が Git リポジトリのシンボリックリンクを不適切に処理することを発見しました。リモートの攻撃者が、この問題を利用して、意図されたリポジトリ境界の外のファイルを Pagure に漏えいさせる可能性があります。(CVE-2024-4981)

    Thomas Chauchefoin 氏は、Pagure がパス入力を適切にサニタイズしないことを発見しました。リモートの攻撃者が、この問題を利用して、任意のファイルを読み取る可能性があります。(CVE-2024-4982)

    Thomas Chauchefoin 氏は、Pagure がリポジトリのアーカイブ作成時にシンボリックリンクを不適切に処理することを発見しました。
    リモートの攻撃者がこの問題を利用して、サーバー上のローカルファイルを漏えいする可能性があります。(CVE-2024-47515)

    Thomas Chauchefoin 氏は、Pagure が特定の入力を不適切に処理することを発見しました。リモートの攻撃者がこの問題を悪用して、サーバー上で任意のコードを実行する可能性があります。(CVE-2024-47516)

Tenable は、前述の説明ブロックを Ubuntu セキュリティアドバイザリからすでに直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートの Debian 11 ホストには、dla-4390 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    ------------------------------------------------------------------------- Debian LTS アドバイザリ DLA-4390-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Daniel Leidert 2025 年 12 月 1 日 https://wiki.debian.org/LTS-------------------------------------------------------------------------

    パッケージ : pagure バージョン : 5.11.3+dfsg-1+deb11u1 CVE ID : CVE-2024-4981 CVE-2024-4982 CVE-2024-47515 CVE-2024-47516 Debian バグ : 1091383


    Git を中心とするコードホスティングシステム (forge) である Pagure に複数の脆弱性が発見されました。


    CVE-2024-4981

       _update_file_in_git() 関数は、一時的複製のシンボリックリンクをたどります。修正方法は、ファイルパスが temp repo の外部または「.git/」フォルダーの内部にある場合に処理を中止し、データ漏洩やファイルまたは git 設定の不正な変更を回避することです。

    CVE-2024-4982

       view_issue_raw_file() のパストラバーサル。

    CVE-2024-47515

       generate_archive() 関数は、一時的複製のシンボリックリンクをたどります。修正方法は、zip アーカイブに実際のリンクを追加することであり、ターゲットコンテンツを追加することではありません。

    CVE-2024-47516

       リポジトリ履歴の取得中の Git コマンドラインへの追加オプションの注入を修正し、リモートコードの実行を防止します。


    Debian 11 bullseye においては、これらの問題はバージョン 5.11.3+dfsg-1+deb11u1 で修正されました。

    お使いの pagure パッケージをアップグレードすることを推奨します。

    pagure の詳細なセキュリティステータスについては、そのセキュリティトラッカーページを参照してください。
    https://security-tracker.debian.org/tracker/pagure

    Debian LTS セキュリティアドバイザリに関する詳細、これらの更新をシステムに適用する方法、およびよくある質問については、こちらを参照してください。https://wiki.debian.org/LTSAttachment:signature.ascDescription: これはデジタル署名されたメッセージ部分です

Tenable は、前述の説明ブロックを Debian セキュリティアドバイザリから直接抽出しました。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - Pagure に脆弱性が見つかりました。リポジトリ履歴の取得中にGitで引数インジェクションが発生すると、Pagureインスタンスでリモートでコードが実行される可能性があります。CVE-2024-47516

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

The Linux/Unix host has one or more packages installed that are impacted by a vulnerability without a vendor supplied patch available.

  - A vulnerability was found in Pagure. An argument injection in Git during retrieval of the repository     history leads to remote code execution on the Pagure instance. (CVE-2024-47516)

Note that Nessus relies on the presence of the package as reported by the vendor.

The remote Ubuntu 20.04 LTS / 22.04 LTS / 24.04 LTS host has packages installed that are affected by multiple vulnerabilities as referenced in the USN-7984-1 advisory.

    Thomas Chauchefoin discovered that Pagure incorrectly handled symbolic links in Git repositories. A remote     attacker could possibly use this issue to cause Pagure to expose files outside the intended repository     boundaries. (CVE-2024-4981)

    Thomas Chauchefoin discovered that Pagure did not properly sanitize path inputs. A remote attacker could     possibly use this issue to read arbitrary files. (CVE-2024-4982)

    Thomas Chauchefoin discovered that Pagure incorrectly handled symbolic links during repository archiving.
    A remote attacker could possibly use this issue to disclose local files on the server. (CVE-2024-47515)

    Thomas Chauchefoin discovered that Pagure incorrectly handled certain inputs. A remote attacker could     possibly use this issue to execute arbitrary code on the server. (CVE-2024-47516)

Tenable has extracted the preceding description block directly from the Ubuntu security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

The remote Debian 11 host has packages installed that are affected by multiple vulnerabilities as referenced in the dla-4390 advisory.

    -------------------------------------------------------------------------     Debian LTS Advisory DLA-4390-1                debian-lts@lists.debian.org     https://www.debian.org/lts/security/                       Daniel Leidert     December 01, 2025                             https://wiki.debian.org/LTS
    -------------------------------------------------------------------------

    Package        : pagure     Version        : 5.11.3+dfsg-1+deb11u1     CVE ID         : CVE-2024-4981 CVE-2024-4982 CVE-2024-47515 CVE-2024-47516     Debian Bug     : 1091383


    Multiple vulnerabilities have been discovered in Pagure, a Git-centered     code hosting system (forge).


    CVE-2024-4981

       The function _update_file_in_git() follows symbolic links in        temporary clones. The fix is to bail out if a file path is outside        the temp repo or inside the '.git/' folder to avoid data leak and        unauthorized changes in files or git config.

    CVE-2024-4982

       Path traversal in view_issue_raw_file().

    CVE-2024-47515

       The generate_archive() function follows symbolic links in temporary        clones. The fix is to the add actual link rather than the target        content to the zip archive.

    CVE-2024-47516

       Fix an injection of additional options to the Git command-line        during retrieval of the repository history to prevent remote code        execution.


    For Debian 11 bullseye, these problems have been fixed in version     5.11.3+dfsg-1+deb11u1.

    We recommend that you upgrade your pagure packages.

    For the detailed security status of pagure please refer to     its security tracker page at:
    https://security-tracker.debian.org/tracker/pagure

    Further information about Debian LTS security advisories, how to apply     these updates to your system and frequently asked questions can be     found at: https://wiki.debian.org/LTS     Attachment:
    signature.asc     Description: This is a digitally signed message part

Tenable has extracted the preceding description block directly from the Debian security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

ID	Name	Product	Family	Published	Updated	Severity
297796	Ubuntu 20.04 LTS / 22.04 LTS / 24.04 LTS：Pagure 漏洞 (USN-7984-1)	Nessus	Ubuntu Local Security Checks	2/4/2026	2/4/2026	critical
277288	Debian dla-4390: pagure - 安全性更新	Nessus	Debian Local Security Checks	12/3/2025	12/3/2025	critical
257097	Linux Distros 未修補的弱點：CVE-2024-47516	Nessus	Misc.	8/27/2025	9/2/2026	critical
297796	Ubuntu 20.04 LTS / 22.04 LTS / 24.04 LTS：Pagure 弱點 (USN-7984-1)	Nessus	Ubuntu Local Security Checks	2/4/2026	2/4/2026	critical
257097	Linux Distros 未修补的漏洞：CVE-2024-47516	Nessus	Misc.	8/27/2025	9/2/2026	critical
277288	Debian dla-4390 : pagure - 安全更新	Nessus	Debian Local Security Checks	12/3/2025	12/3/2025	critical
297796	Ubuntu 20.04 LTS / 22.04 LTS / 24.04 LTS: Pagure の脆弱性 (USN-7984-1)	Nessus	Ubuntu Local Security Checks	2/4/2026	2/4/2026	critical
277288	Debian dla-4390 : pagure - セキュリティ更新	Nessus	Debian Local Security Checks	12/3/2025	12/3/2025	critical
257097	Linux Distros のパッチ未適用の脆弱性: CVE-2024-47516	Nessus	Misc.	8/27/2025	9/2/2026	critical
257097	Linux Distros Unpatched Vulnerability : CVE-2024-47516	Nessus	Misc.	8/27/2025	9/2/2026	critical
297796	Ubuntu 20.04 LTS / 22.04 LTS / 24.04 LTS : Pagure vulnerabilities (USN-7984-1)	Nessus	Ubuntu Local Security Checks	2/4/2026	2/4/2026	critical
277288	Debian dla-4390 : pagure - security update	Nessus	Debian Local Security Checks	12/3/2025	12/3/2025	critical

Detections

Analytics

Plugins Search

critical

critical

critical

critical

critical

critical

critical

critical

critical

critical

critical

critical