There are packages installed that are affected by a vulnerability referenced in the following CVE:

  - pdm is a Python package and dependency manager supporting the latest PEP standards. In versions prior to
    2.27.0, pdm writes several project-local state or configuration files without symlink protection. If a
    malicious repository places those files as symlinks, local PDM operations can overwrite the symlink
    targets. This creates an arbitrary file clobber primitive relative to the privileges of the invoking user.
    Config.__init__() resolves the project-local pdm.toml path and _save_config() writes to the resolved
    target. If PROJECT_ROOT/pdm.toml is a symlink to another file, pdm config -l ... updates the target file
    instead of refusing the write. The same general problem exists for other project-local persistence paths
    that are written directly with no lstat / O_NOFOLLOW protection. For the pdm.toml PoC specifically, the
    target file must already contain parseable TOML. Otherwise the load step fails before the write path is
    reached. That parser constraint does not apply to the .pdm-python or .python-version sinks. This issue has
    been fixed in version 2.27.0. (CVE-2026-47763)

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - pdm 是 Python 的程序包和依赖关系管理器，支持最新的 PEP 标准。在低于 2.27.0的版本中，pdm 写入多个项目本地状态或配置文件而没有符号链接保护。如果恶意存储库将这些文件作为符号链接放置，则本地 PDM 操作可覆盖符号链接目标。这样会创建一个相对于调用用户的权限的任意文件强制改写原语。
    Config.__init__（） 解析 project-local pdm.toml 路径，_save_config（） 写入解析的目标。如果 PROJECT_ROOT/pdm.toml 是连接到另一个文件的符号链接，则 pdm config -l ...更新目标文件而非拒绝写入。对于直接写入没有 lstat / O_NOFOLLOW 保护的其他项目本地持久性路径，存在同样的一般问题。具体而言，对于 pdm.toml PoC，目标文件必须已包含可解析的 TOML。否则，加载步骤将在到达写入路径之前失败。该解析器限制不适用于 .pdm-python 或 .python-version 接收器。此问题已在 2.27.0 版本中修复。(CVE-2026-47763)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且供應商未提供可用的修補程式。

  - pdm 是一個支援最新 PEP 標準的 Python 套件和相依性管理器。在之前的 2.27.0版本中，pdm 會寫入多個沒有符號連結保護的專案本機狀態或設定檔。如果惡意存放庫將這些檔案放置為符號連結，本機 PDM 作業可能會覆寫符號連結目標。這會建立相對於叫用使用者權限的任意檔案 clobber 基本類型。
    Config.__init__（） 解析專案本機 pdm.toml 路徑，_save_config（） 寫入已解析的目標。如果 PROJECT_ROOT/pdm.toml 是另一個檔案的符號連結，則 pdm config -l ...會更新目標檔案，而非拒絕寫入。其他專案本機持續性路徑也存在相同的一般問題，這些路徑是直接寫入的，沒有 lstat / O_NOFOLLOW 保護。特別是針對 pdm.toml PoC，目標檔案必須已包含可剖析的 TOML。否則，載入步驟會在到達寫入路徑之前失敗。該剖析器條件約束不適用於 .pdm-python 或 .python-version 接收。2.27.0 版已修正此問題。(CVE-2026-47763)

請注意，Nessus 的判定取決於廠商所報告的套件是否存在。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - pdm は、最新の PEP 標準をサポートする Python パッケージであり、依存関係マネージャーです。2.27.0 より前のバージョンでは、pdm はシンボリックリンク保護なしで複数のプロジェクトローカルの状態または構成ファイルを書き込みます。悪意のあるリポジトリがこれらのファイルをシンボリックリンクとして配置すると、ローカルのPDM操作によってシンボリックリンクターゲットが上書きされる可能性があります。これは、呼び出し側のユーザーの権限に対して相対的に任意のファイル上書きプリミティブを作成します。
    Config.__init__() はプロジェクトローカルの pdm.toml パスを解決し、_save_config() は解決されたターゲットに書き込みます。PROJECT_ROOT/pdm.toml が別のファイルへのシンボリックリンクである場合、pdm config -l ...は書き込みを拒否するのではなく、ターゲットファイルを更新します。同じ一般的な問題が、lstat / O_NOFOLLOW 保護なしで直接書き込まれる、他のプロジェクトローカルの永続パスにも存在します。特に pdm.toml PoC の場合、ターゲットファイルに解析可能な TOML がすでに含まれている必要があります。そうしないと、書き込みパスに到達する前にロードステップが失敗します。そのパーサー制約は、.pdm-python または .python-version シンクには適用されません。この問題はバージョン 2.27.0で修正されています。(CVE-2026-47763)

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

リモートの openSUSE 16 ホストに、複数の脆弱性の影響を受けているパッケージがインストールされています。これらの脆弱性は openSUSE-SU-2026:21161-1 アドバイザリで言及されています。

    python-pdm の変更点:

    - CVE-2026-47763:構成ファイルを書き込む際にシンボリックリンクをたどりません(bsc#1268384)
    - CVE-2026-47763:スキーマ dir 外のパスに書き込みません(bsc#1268385)
    - CVE-2026-47781:project_plugins_dir を使用するようにプラグインインストールパスを更新します(bsc#1268386)

Tenable は、前述の記述ブロックを SUSE セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

The Linux/Unix host has one or more packages installed that are impacted by a vulnerability without a vendor supplied patch available.

  - pdm is a Python package and dependency manager supporting the latest PEP standards. In versions prior to     2.27.0, pdm writes several project-local state or configuration files without symlink protection. If a     malicious repository places those files as symlinks, local PDM operations can overwrite the symlink     targets. This creates an arbitrary file clobber primitive relative to the privileges of the invoking user.
    Config.__init__() resolves the project-local pdm.toml path and _save_config() writes to the resolved     target. If PROJECT_ROOT/pdm.toml is a symlink to another file, pdm config -l ... updates the target file     instead of refusing the write. The same general problem exists for other project-local persistence paths     that are written directly with no lstat / O_NOFOLLOW protection. For the pdm.toml PoC specifically, the     target file must already contain parseable TOML. Otherwise the load step fails before the write path is     reached. That parser constraint does not apply to the .pdm-python or .python-version sinks. This issue has     been fixed in version 2.27.0. (CVE-2026-47763)

Note that Nessus relies on the presence of the package as reported by the vendor.

The remote openSUSE 16 host has a package installed that is affected by multiple vulnerabilities as referenced in the openSUSE-SU-2026:21161-1 advisory.

    Changes in python-pdm:

    - CVE-2026-47763: Do not follow symlinks when writing config files (bsc#1268384)
    - CVE-2026-47763: Do not write to paths outside the scheme dir (bsc#1268385)
    - CVE-2026-47781: Update plugin installation path to use project_plugins_dir (bsc#1268386)

Tenable has extracted the preceding description block directly from the SUSE security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

ID	Name	Product	Family	Published	Updated	Severity
443061	SCA: security update for pdm (GHSA-ghq2-5c67-fprm)	Tenable Cloud Security	SCA Checks	6/11/2026	8/5/2026	medium
443061	SCA: security update for pdm (GHSA-ghq2-5c67-fprm)	Tenable Self-Hosted Container Security	SCA Checks	6/11/2026	8/5/2026	medium
332063	Linux Distros 未修补的漏洞：CVE-2026-47763	Nessus	Misc.	8/4/2026	10/31/2026	medium
332063	Linux Distros 未修補弱點：CVE-2026-47763	Nessus	Misc.	8/4/2026	10/31/2026	medium
332063	Linux Distros のパッチ未適用の脆弱性: CVE-2026-47763	Nessus	Misc.	8/4/2026	10/31/2026	medium
324056	openSUSE 16 セキュリティ更新:python-pdm(openSUSE-SU-2026:21161-1)	Nessus	SuSE Local Security Checks	7/1/2026	7/1/2026	high
332063	Linux Distros Unpatched Vulnerability : CVE-2026-47763	Nessus	Misc.	8/4/2026	10/31/2026	medium
324056	openSUSE 16 Security Update : python-pdm (openSUSE-SU-2026:21161-1)	Nessus	SuSE Local Security Checks	7/1/2026	7/1/2026	high

Detections

Analytics

Plugins Search

medium

medium

medium

medium

medium

high

medium

high