Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - python-jose thru 3.3.0 允许在没有任何加密签名验证的情况下解码和接受具有“alg=none”的 JWT 标记。恶意执行者可通过任意声明例如 is_admin=true构建伪造的标记并绕过认证检查从而导致权限升级或对依赖 python-jose 进行标记验证的应用程序进行未经授权的访问。除非开发人员明确拒绝“alg=none”标记(并非由库强制执行)此问题的可利用性极强。注意所有相关方一致认为不相关问题仅在 verify_signature: False 的情况下发生。
    (CVE-2025-61152)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

检测

Linux Distros 未修补的漏洞：CVE-2025-61152

medium Nessus 插件 ID 270282

版本 1.5