There are packages installed that are affected by a vulnerability referenced in the following CVE:

  - Picomatch is a glob matcher written JavaScript. Versions prior to 4.0.4, 3.0.2, and 2.3.2 are vulnerable
    to Regular Expression Denial of Service (ReDoS) when processing crafted extglob patterns. Certain patterns
    using extglob quantifiers such as `+()` and `*()`, especially when combined with overlapping alternatives
    or nested extglobs, are compiled into regular expressions that can exhibit catastrophic backtracking on
    non-matching input. Applications are impacted when they allow untrusted users to supply glob patterns that
    are passed to `picomatch` for compilation or matching. In those cases, an attacker can cause excessive CPU
    consumption and block the Node.js event loop, resulting in a denial of service. Applications that only use
    trusted, developer-controlled glob patterns are much less likely to be exposed in a security-relevant way.
    This issue is fixed in picomatch 4.0.4, 3.0.2 and 2.3.2. Users should upgrade to one of these versions or
    later, depending on their supported release line. If upgrading is not immediately possible, avoid passing
    untrusted glob patterns to `picomatch`. Possible mitigations include disabling extglob support for
    untrusted patterns by using `noextglob: true`, rejecting or sanitizing patterns containing nested extglobs
    or extglob quantifiers such as `+()` and `*()`, enforcing strict allowlists for accepted pattern syntax,
    running matching in an isolated worker or separate process with time and resource limits, and applying
    application-level request throttling and input validation for any endpoint that accepts glob patterns.
    (CVE-2026-33671)

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且供應商未提供可用的修補程式。

  - Picomatch 是寫入 JavaScript 的 glob 比對器。 4.0.4、 3.0.2和 2.3.2 之前的版本在處理特製的 extglob 模式時容易受到規則運算式拒絕服務 (ReDoS) 影響。使用 extglob 數量詞 (如 `+()` 和 `*()`) 的特定模式會編譯成規則運算式在不相符的輸入上可能會發生災難性回溯作業 (與重疊替代項目或巢狀 extglob 結合時)。當應用程式允許未受信任的使用者提供傳遞至「picomatch」進行編譯或比對的 glob 模式時應用程式會受到影響。在這些情況下攻擊者可造成 CPU 過度消耗並封鎖 Node.js 事件迴圈進而導致拒絕服務。僅使用受信任且由開發人員控制的 glob 模式的應用程式不太可能以安全性相關方式洩漏。
    此問題已在 picomatch 4.0.4、 3.0.2 和 2.3.2中修正。使用者應升級至這些版本之一或更新版本視受支援的版本而定。如果無法立即升級請避免將不受信任的 glob 模式傳遞至 `picomatch`。可能的緩解措施包括使用「noextglob: true」停用不受信任模式的 extglob 支援拒絕或清理含有巢狀 extglob 或 extglob 限定詞 (例如「+()」和「*()」) 的模式對接受的模式語法強制執行嚴格的允許清單、執行在具有時間和資源限制的隔離背景工作或獨立處理程序中進行比對，並對接受 glob 模式的任何端點套用應用程式層級要求節流和輸入驗證。
    (CVE-2026-33671)

請注意，Nessus 依賴供應商報告的套件存在。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - Picomaatch 是一种以 JavaScript 编写的 glob 匹配器。处理特制的 extglob 模式时低于 4.0.4、 3.0.2和 2.3.2 的版本容易受到正则表达式拒绝服务 (ReDoS) 的影响。使用“+()”和“*()”等 extglob 限定符的某些模式尤其是在与重叠替代项或嵌套的 extglob 结合使用时会被编译为正则表达式在针对不匹配输入时可发生灾难性回溯。应用程序允许不受信任的用户提供 glob 模式这些模式会传递给“picomatch”进行编译或匹配。在这些情况下攻击者可造成过度消耗 CPU 并阻断 Node.js 事件循环从而导致拒绝服务。仅使用受信任的、由开发人员控制的 glob 模式的应用程序以安全相关方式暴露的可能性大大降低。
    此问题已在 picomatch 中修复 4.0.4、 3.0.2 和 2.3.2。用户应升级到这些版本中的一个 或更高版本具体取决于其支持的版本系列。如果无法立即升级，应避免将不受信任的 glob 模式传递到“picomatch”。可能的缓解措施包括使用“noextglob: true”禁用 extglob 对不可信的模式的支持、拒绝或审查包含嵌套 extglob 或 extglob 量词如“+()”和“*()”的模式、对接受的模式语法强制执行严格的允许列表、运行在具有时间和资源限制的隔离工作线程或单独进程中进行匹配，并为接受 glob 模式的任何端点应用应用程序级别请求限制和输入验证。
    (CVE-2026-33671)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - Picomatch は、JavaScript で記述された glob マッチャーです。 4.0.4、 3.0.2、および 2.3.2 以前のバージョンは、細工された extglob パターンを処理する際に正規表現のサービス拒否ReDoSに対して脆弱です。「+()」や「*()」などの extglob 修飾子を使用する特定のパターンは、特に重複する代替またはネスト化された extglob と組み合わせられた場合、正規表現にコンパイルされ、これによって非一致入力で壊滅的なバックトラックを示すことができます。アプリケーションが、信頼できないユーザーが、コンパイルまたはマッチングのために「picomatch」に渡される glob パターンを提供できる場合に影響を受けます。それらの場合、攻撃者はCPUを過剰に消費し、Node.jsのイベントループをブロックすることで、サービス拒否を引き起こす可能性があります。信頼できる、開発者がコントロールするグロブパターンのみを使用するアプリケーションは、セキュリティ関連の方法で漏洩する可能性がはるかに低いです。
    この問題は picomatch 4.0.4、 3.0.2 、 2.3.2で修正されています。ユーザーは、サポートされているリリースラインに応じて、これらのバージョンのいずれか以降にアップグレードする必要があります。アップグレードがすぐに不可能な場合は、信頼できない glob パターンを「picomatch」に渡すのを避けてください。考えられる軽減策には、「noextglob: true」を使用することで信頼できないパターンに対する extglob サポートを無効にすることと、「+()」や「*()」などのネスト化された extglob または extglob 修飾子を含むパターンを拒否またはサニタイズすること、受け入れられたパターン構文のために厳格な許可リストを実施すること、分離されたワーカーまたは個別のプロセスでのマッチング、および glob パターンを受け入れるエンドポイントのアプリケーションレベルのリクエストスロットリングおよび入力検証の適用。
    (CVE-2026-33671)

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

The Linux/Unix host has one or more packages installed that are impacted by a vulnerability without a vendor supplied patch available.

  - Picomatch is a glob matcher written JavaScript. Versions prior to 4.0.4, 3.0.2, and 2.3.2 are vulnerable     to Regular Expression Denial of Service (ReDoS) when processing crafted extglob patterns. Certain patterns     using extglob quantifiers such as `+()` and `*()`, especially when combined with overlapping alternatives     or nested extglobs, are compiled into regular expressions that can exhibit catastrophic backtracking on     non-matching input. Applications are impacted when they allow untrusted users to supply glob patterns that     are passed to `picomatch` for compilation or matching. In those cases, an attacker can cause excessive CPU     consumption and block the Node.js event loop, resulting in a denial of service. Applications that only use     trusted, developer-controlled glob patterns are much less likely to be exposed in a security-relevant way.
    This issue is fixed in picomatch 4.0.4, 3.0.2 and 2.3.2. Users should upgrade to one of these versions or     later, depending on their supported release line. If upgrading is not immediately possible, avoid passing     untrusted glob patterns to `picomatch`. Possible mitigations include disabling extglob support for     untrusted patterns by using `noextglob: true`, rejecting or sanitizing patterns containing nested extglobs     or extglob quantifiers such as `+()` and `*()`, enforcing strict allowlists for accepted pattern syntax,     running matching in an isolated worker or separate process with time and resource limits, and applying     application-level request throttling and input validation for any endpoint that accepts glob patterns.
    (CVE-2026-33671)

Note that Nessus relies on the presence of the package as reported by the vendor.

ID	Name	Product	Family	Published	Updated	Severity
439235	SCA: security update for picomatch (GHSA-c2c7-rcm5-vvqj)	Tenable Cloud Security	SCA Checks	3/26/2026	7/2/2026	high
439235	SCA: security update for picomatch (GHSA-c2c7-rcm5-vvqj)	Tenable Self-Hosted Container Security	SCA Checks	3/26/2026	7/2/2026	high
303991	Linux Distros 未修補的弱點：CVE-2026-33671	Nessus	Misc.	3/27/2026	7/6/2026	high
303991	Linux Distros 未修补的漏洞：CVE-2026-33671	Nessus	Misc.	3/27/2026	7/6/2026	high
303991	Linux Distros のパッチ未適用の脆弱性: CVE-2026-33671	Nessus	Misc.	3/27/2026	7/6/2026	high
303991	Linux Distros Unpatched Vulnerability : CVE-2026-33671	Nessus	Misc.	3/27/2026	7/6/2026	high

Detections

Analytics

Plugins Search

high

high

high

high

high

high