远程主机上安装的 perl-HTTP-Daemon 版本低于 6.01-8。因此，它受到 ALAS2-2026-3341 公告中提及的一个漏洞影响。

    之前的 HTTP：:D aemon Perl 版本 6.17 允许通过 send_file（） 进行操作系统命令注入。

    send_file（） 使用 Perl 的 2-arg open（） 打开其字符串参数。2-arg 形式解释 magic 前缀：
    '|cmd“和”cmd |“打开通往子进程的管道，”> path“和”>> path“打开写入或附加的路径。

    传递到 send_file() 的不受信任输入可在 daemon 进程 UID 处运行 OS 命令。read-pipe 表单（“cmd |”）还会将子进程 stdout 泄漏到 HTTP 响应正文中。写入模式表单可在攻击者选择的路径处创建或截断文件。(CVE-2026-8450)

Tenable 已直接从测试产品的安全公告中提取上述描述块。

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

检测

Amazon Linux 2 ： perl-HTTP-Daemon， --advisory ALAS2-2026-3341 （ALAS-2026-3341）

high Nessus 插件 ID 319797

版本 1.2