因此，该软件受到 ALAS2023-2026-2090 公告中提及的多个漏洞影响。

    应用程序中的国际化域名 （IDNA） for Python 提供对应用程序中的国际化域名 （IDNA） 和 Unicode IDNA 兼容性处理的支持。在低于 的版本 3.15中，如“\u0660 * N”或“\u30fb * N + \u6f22”等负载在长度拒绝之前使用“valid_contexto”函数，对于高值“N”将需要很长时间来处理。这是相同的问题 CVE-2024-3651，但 2024 年的原始修复并非完全修复。“idna.encode（）”函数的特制参数可能消耗大量资源。这可导致拒绝服务。从版本 3.14开始，该函数会在任何进一步处理之前尽快拒绝长输入，以最大限度地减少资源消耗。在版本 3.15中，此方法已扩展到较少使用的替代函数（即每个标签转换和编解码器支持）。有变通方案。域名的长度不能超过 253 个字符。如果在将域传递到“idna.encode（）”函数之前强制执行此长度限制，应不会再消耗大量资源。这由任意大型输入触发，这些输入在正常使用中不会出现，但假设更高级别的应用程序没有初步输入验证，则可能会传递到库。（CVE-2026-45409）

    使用 Brotli 支持时，urllib3 版本 2.6.3 容易在其流 API 中遭受解压缩炸弹绕过（“preload_content=False”）。产生该问题的原因是“response.py”中三个独立的代码路径绕过版本 2.6.0 中引入的“max_length”保护以缓解 CVE-2025-66471。具体而言，由于“read（）”中的缓冲区运算，可能会产生负的“max_length”值，“flush_decoder”会无条件地将“max_length”替换为“-1”，而“_flush_decoder（）”完全不传递任何限制，默认为无限制解压缩。这会允许恶意 HTTP 服务器通过将大型负载解压缩到内存中来触发内存不足 （OOM） 情况，从而导致拒绝服务 （DoS）。该漏洞影响 urllib3 2.6.3 和 Brotli 1.2.0 ，并影响使用“requests”或“urllib3”从不受信任的来源流式传输内容的应用程序和库。（CVE-2026-9375）

Tenable 已直接从测试产品的安全公告中提取上述描述块。

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

检测

Amazon Linux 2023：python3.11-pip、python3.11-pip-wheel (ALAS2023-2026-2090)

medium Nessus 插件 ID 341860

版本 1.1