因此，该软件受到 ALAS2023-2026-1666 公告中提及的多个漏洞影响。

    pip 将串联的 tar 和 ZIP 文件作为 ZIP 文件进行处理，而不管文件名如何或文件是否同时是 tar 和 ZIP 文件。此行为可导致混淆的安装行为，例如根据存档的文件名安装不正确的文件。仅当文件唯一标识为 ZIP 或 tar 存档而非两者时，新行为才会继续安装。（CVE-2026-3219）

    低于版本 26.1 的 pip 将在安装 wheel 文件后运行自我更新检查功能，这需要导入已知的 Python 模块名称。有意推迟这些模块导入以增加 pip CLI 的启动时间。此修补程序将自我更新功能更改为在安装 wheels 之前运行，以防止在安装 wheel 程序包后不久导入新安装的模块。用户仍应在安装之前检查程序包内容。（CVE-2026-6357）

Tenable 已直接从测试产品的安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

检测

Amazon Linux 2023：python3.12-pip、python3.12-pip-wheel （ALAS2023-2026-1666）

medium Nessus 插件 ID 315636

版本 1.1