Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - joserfc 是一个 Python 库，可提供多种 JSON 对象签名和加密 (JOSE) 标准的实现。在版本 1.3.3 至 1.3.5 以及版本 1.4.0 至 1.4.2 中，ExceededSizeError 异常消息中嵌入了未解码的 JWT 令牌片段，这可能导致 Python 日志功能记录任意大型伪造的 JWT 负载。如果 Python Web 应用程序前端存在配置错误或完全不存在的生产级 Web 服务器，则攻击者将有可能通过 HTTP 请求标头发送任意大型不记名令牌。发生这种情况时，Python 日志功能或诊断工具 (例如 Sentry) 在 joserfc.jwt.decode() 操作期间，可能会处理包含完整 JWT 标头的极大日志消息。在验证声明和签名负载大小时也会出现同样的行为，因为该库会引发 joserfc.errors.ExceededSizeError()，并在异常消息中嵌入完整负载。由于负载已在此阶段完全加载到内存中，因此该库无法阻止或拒绝负载。已在版本 1.3.5 和 1.4.2 中修补此问题。(CVE-2025-65015)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

检测

Linux Distros 未修补的漏洞：CVE-2025-65015

critical Nessus 插件 ID 275773

版本 1.3