There are packages installed that are affected by a vulnerability referenced in the following CVE:

  - Picomatch is a glob matcher written JavaScript. Versions prior to 4.0.4, 3.0.2, and 2.3.2 are vulnerable
    to a method injection vulnerability affecting the `POSIX_REGEX_SOURCE` object. Because the object inherits
    from `Object.prototype`, specially crafted POSIX bracket expressions (e.g., `[[:constructor:]]`) can
    reference inherited method names. These methods are implicitly converted to strings and injected into the
    generated regular expression. This leads to incorrect glob matching behavior (integrity impact), where
    patterns may match unintended filenames. The issue does not enable remote code execution, but it can cause
    security-relevant logic errors in applications that rely on glob matching for filtering, validation, or
    access control. All users of affected `picomatch` versions that process untrusted or user-controlled glob
    patterns are potentially impacted. This issue is fixed in picomatch 4.0.4, 3.0.2 and 2.3.2. Users should
    upgrade to one of these versions or later, depending on their supported release line. If upgrading is not
    immediately possible, avoid passing untrusted glob patterns to picomatch. Possible mitigations include
    sanitizing or rejecting untrusted glob patterns, especially those containing POSIX character classes like
    `[[:...:]]`; avoiding the use of POSIX bracket expressions if user input is involved; and manually
    patching the library by modifying `POSIX_REGEX_SOURCE` to use a null prototype. (CVE-2026-33672)

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且供應商未提供可用的修補程式。

  - Picomatch 是寫入 JavaScript 的 glob 比對器。 4.0.4、 3.0.2和 2.3.2 之前的版本容易受到影響 `POSIX_REGEX_SOURCE` 物件的方法插入弱點影響。由於物件繼承自 `Object.prototype`因此特製 POSIX 括弧運算式 (例如 `[[:constructor:]]`) 可以參照繼承的方法名稱。這些方法會隱含轉換為字串並插入產生的規則運算式中。這會導致錯誤的 glob 比對行為 (影響完整性)其中模式可能會比對非預期的檔案名稱。此問題不會導致遠端程式碼執行但可造成依賴 glob 比對進行篩選、驗證或存取控制的應用程式中發生安全性相關邏輯錯誤。處理未受信任或使用者控制之 glob 模式的受影響 `picomatch` 版本的所有使用者都可能受到影響。此問題已在 picomatch 4.0.4、 3.0.2 和 2.3.2中修正。使用者應升級至這些版本之一或更新版本視受支援的版本而定。若無法立即升級請避免將不受信任的 glob 模式傳遞至 picomatch。可能的緩解措施包括清理或拒絕不受信任的 glob 模式特別是那些含有 POSIX 字元類別如「[[:...:]]」的若涉及使用者輸入則避免使用 POSIX 括弧運算式並透過修改 `POSIX_REGEX_SOURCE` 來手動修補程式庫以使用 null 原型。 (CVE-2026-33672)

請注意，Nessus 的判定取決於廠商所報告的套件是否存在。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - Picomaatch 是一种以 JavaScript 编写的 glob 匹配器。低于 4.0.4、 3.0.2和 2.3.2 的版本容易受到方法注入漏洞的影响并且会影响“POSIX_REGEX_SOURCE”对象。由于从 `Object.prototype` 继承的对象因此特别构建的 POSIX 括号表达式例如 `[[:constructor:]]`可能引用继承的方法名称。这些方法会隐式转换为字符串并注入到生成的正则表达式中。这会导致不正确的 glob 匹配行为完整性影响其中模式可能匹配非预期的文件名。问题不会启用远程代码执行但可在依赖 glob 匹配进行筛选、验证或访问控制的应用程序中导致与安全相关的逻辑错误。使用受影响的“picomatch”版本的用户处理不受信任的或用户控制的 glob 模式可能会受到影响。此问题已在 picomatch 中修复 4.0.4、 3.0.2 和 2.3.2。用户应升级到这些版本中的一个 或更高版本具体取决于其支持的版本系列。如果无法立即升级，应避免将不受信任的 glob 模式传递给 picomatch。可能的缓解措施包括审查或拒绝不受信任的 glob 模式尤其是包含“[[:...:]]”等 POSIX 字符类的模式避免在涉及用户输入时使用 POSIX 括号表达式并通过修改“POSIX_REGEX_SOURCE”以使用 null 原型来手动修补库。 (CVE-2026-33672)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - Picomatch は、JavaScript で記述された glob マッチャーです。 4.0.4、 3.0.2、および 2.3.2 以前のバージョンは、「POSIX_REGEX_SOURCE」オブジェクトに影響を与えるメソッドインジェクションの脆弱性に脆弱です。オブジェクトは「Object.prototype」から継承するため、特別に細工された POSIX 括弧表現例「[[:constructor:]]`」が継承されたメソッド名を参照できます。これらのメソッドは暗黙のうちに文字列に変換され、生成された正規表現に注入されます。これが正しくない glob 照合動作整合性への影響で、パターンが意図しないファイル名を照合する可能性があります。この問題によってリモートコードが実行されることはありませんが、フィルタリング、検証、アクセスコントロールをグロブマッチングに依存しているアプリケーションで、セキュリティ関連の論理エラーを引き起こす可能性があります。信頼できない、またはユーザー制御の glob パターンを処理する、影響を受ける「picomatch」バージョンの全ユーザーが、潜在的な影響を受けます。この問題は picomatch 4.0.4、 3.0.2 、 2.3.2で修正されています。ユーザーは、サポートされているリリースラインに応じて、これらのバージョンのいずれか以降にアップグレードする必要があります。アップグレードがすぐに不可能な場合は、信頼できない glob パターンを picomatch に渡すのを避けてください。考えられる軽減策には、信頼できないグロブパターン特に「[[:...:]]」などの POSIX 文字クラスを含むパターンをサニタイズまたは拒否することが含まれます。ユーザー入力が関係する場合、POSIX 括弧表現の使用を回避し、null プロトタイプを使用するように「POSIX_REGEX_SOURCE」を変更して、ライブラリに手動でパッチを適用します。CVE-2026-33672

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

The Linux/Unix host has one or more packages installed that are impacted by a vulnerability without a vendor supplied patch available.

  - Picomatch is a glob matcher written JavaScript. Versions prior to 4.0.4, 3.0.2, and 2.3.2 are vulnerable     to a method injection vulnerability affecting the `POSIX_REGEX_SOURCE` object. Because the object inherits     from `Object.prototype`, specially crafted POSIX bracket expressions (e.g., `[[:constructor:]]`) can     reference inherited method names. These methods are implicitly converted to strings and injected into the     generated regular expression. This leads to incorrect glob matching behavior (integrity impact), where     patterns may match unintended filenames. The issue does not enable remote code execution, but it can cause     security-relevant logic errors in applications that rely on glob matching for filtering, validation, or     access control. All users of affected `picomatch` versions that process untrusted or user-controlled glob     patterns are potentially impacted. This issue is fixed in picomatch 4.0.4, 3.0.2 and 2.3.2. Users should     upgrade to one of these versions or later, depending on their supported release line. If upgrading is not     immediately possible, avoid passing untrusted glob patterns to picomatch. Possible mitigations include     sanitizing or rejecting untrusted glob patterns, especially those containing POSIX character classes like     `[[:...:]]`; avoiding the use of POSIX bracket expressions if user input is involved; and manually     patching the library by modifying `POSIX_REGEX_SOURCE` to use a null prototype. (CVE-2026-33672)

Note that Nessus relies on the presence of the package as reported by the vendor.

ID	Name	Product	Family	Published	Updated	Severity
439220	SCA: security update for picomatch (GHSA-3v7f-55p6-f55p)	Tenable Self-Hosted Container Security	SCA Checks	3/26/2026	7/2/2026	medium
439220	SCA: security update for picomatch (GHSA-3v7f-55p6-f55p)	Tenable Cloud Security	SCA Checks	3/26/2026	7/2/2026	medium
304000	Linux Distros 未修補的弱點：CVE-2026-33672	Nessus	Misc.	3/27/2026	7/5/2026	medium
304000	Linux Distros 未修补的漏洞：CVE-2026-33672	Nessus	Misc.	3/27/2026	7/5/2026	medium
304000	Linux Distros のパッチ未適用の脆弱性: CVE-2026-33672	Nessus	Misc.	3/27/2026	7/5/2026	medium
304000	Linux Distros Unpatched Vulnerability : CVE-2026-33672	Nessus	Misc.	3/27/2026	7/5/2026	medium

Detections

Analytics

Plugins Search

medium

medium

medium

medium

medium

medium