根据其自我报告的版本号，远程 Web 服务器上运行的 Oracle Primavera Unifier 安装版本为 16.1.x 或低于 16.2.15.10 的 16.2.x，或低于 17.12.11.1 的 17.7.x 至 17.12.x，或低于 18.8.13.0 的 18.8.x。因而受到多个漏洞攻击：- 当 “ehcache” 用于 Primavera Unifier 的 jackson-databind 组件时，“默认输入”的处理方式存在不明缺陷。未经身份验证的远程攻击者可通过 HTTP 经网络造成代码执行。(CVE-2019-14379) - Primavera Unifier 的 jackson-databind 组件存在信息泄露漏洞。如果服务在类路径中拥有 mysql-connector-java jar，未经身份验证的远程攻击者可通过外部暴露的 JSON 端点利用此漏洞，并且攻击者可托管受害者访问的构造的 MySQL 服务器。攻击者可发送构造的 JSON 消息读取服务器上的任意本地文件。(CVE-2019-12086) - Primavera Unifier 的 jackson-databind 组件存在信息泄露漏洞。如果服务在类路径中拥有允许信息泄露的 logback jar，未经身份验证的远程攻击者可通过外部暴露的 JSON 端点利用此漏洞。(CVE-2019-14439) 请注意，Nessus 并未测试这些问题，而是只依赖于应用程序自我报告的版本号。

远程主机上安装的 Apache POI 版本低于 3.17，因而会受到多个 DoS 漏洞的影响。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程主机上安装的 Oracle 应用程序测试套件版本受到多个漏洞的影响：- Oracle Enterprise Manager 的 Oracle 应用程序测试套件产品中的漏洞（组件：Oracle Flow Builder (Jython)）。受影响的支持版本为 12.5.0.3、13.1.0.1、13.2.0.1 和 13.3.0.1。可轻松利用的漏洞允许具有网络访问权限的未经身份验证的攻击者通过 HTTP 来破坏 Oracle 应用程序测试套件。成功攻击此漏洞可导致接管 Oracle 应用程序测试套件。(CVE-2016-4000) - Oracle Enterprise Manager 子组件 Oracle Flow Builder (Jython) 的 Oracle 应用程序测试套件产品中的不明漏洞。具有网络访问权限的未经身份验证的远程攻击者可以通过 HTTP 来破坏 Oracle 应用程序测试套件。(CVE-2016-4000) - Oracle Enterprise Manager 子组件 Load Testing for Web Apps (Apache POI) 的 Oracle 应用程序测试套件产品中的不明漏洞。具有网络访问权限的未经身份验证的远程攻击者可以通过 HTTP 来破坏 Oracle 应用程序测试套件，并导致进程挂起或频繁重复发生崩溃（完整 DOS）。(CVE-2017-12626) - Oracle Enterprise Manager 子组件 Oracle Flow Builder (Apache POI) 的 Oracle 应用程序测试套件产品中的不明漏洞。具有网络访问权限的未经身份验证的远程攻击者可以通过 HTTP 来破坏 Oracle 应用程序测试套件，并导致进程挂起或频繁重复发生崩溃（完整 DOS）。(CVE-2017-12626) - Oracle Enterprise Manager 子组件 Load Testing for Web Apps (AntiSamy) 的 Oracle 应用程序测试套件产品中的不明漏洞。具有网络访问权限的未经身份验证的远程攻击者通过 HTTP 能够获得人工交互，进而可影响其他产品，并导致对某些可访问数据进行未经授权的更新、插入或删除访问，以及对可访问数据子集进行未经授权的读取访问。(CVE-2017-14735) - Oracle Enterprise Manager 子组件 Oracle Flow Builder (Antisamy) 的 Oracle 应用程序测试套件产品中的不明漏洞。具有网络访问权限的未经身份验证的远程攻击者通过 HTTP 能够获得人工交互，进而可影响其他产品，并导致对某些可访问数据进行未经授权的更新、插入或删除访问，以及对可访问数据子集进行未经授权的读取访问。(CVE-2017-14735) - Oracle Enterprise Manager 子组件 Load Testing for Web Apps (Application Development Framework) 的 Oracle 应用程序测试套件产品中的不明漏洞。具有网络访问权限的未经身份验证的远程攻击者可以通过 HTTP 导致接管 Oracle 应用程序测试套件。(CVE-2019-2904) - Oracle Enterprise Manager 子组件 Oracle Flow Builder (jQuery) 的 Oracle 应用程序测试套件产品中的不明漏洞。具有网络访问权限的未经身份验证的远程攻击者通过 HTTP 能够获得人工交互，进而可影响其他产品，并导致对某些可访问数据进行未经授权的更新、插入或删除访问，以及对可访问数据子集进行未经授权的读取访问。(CVE-2019-11358) - Oracle Enterprise Manager 子组件 Load Testing for Web Apps (Apache POI) 的 Oracle 应用程序测试套件产品中的不明漏洞。具有对基础设施的网络访问权限、经身份验证的低权限远程攻击者可导致对关键数据进行未经授权的访问，或者对 Oracle 应用程序测试套件的所有可访问数据进行完全访问。(CVE-2019-12415) - Oracle Enterprise Manager 子组件 Oracle Flow Builder 的 Oracle 应用程序测试套件产品中的不明漏洞。具有网络访问权限的未经身份验证的远程攻击者通过 HTTP 可导致对关键数据进行未经授权的访问，或者对 Oracle 应用程序测试套件的所有可访问数据进行完全访问。(CVE-2020-2673)

根据其自我报告的版本号，远程 Web 服务器上运行的 Oracle Primavera 网关安装版本为低于 15.2.17 的 15.x、低于 16.2.10 的 16.x、低于 17.12.5 的 17.x 或低于 18.8.7 的 18.x。因此，受多个漏洞影响：- FasterXML jackson-databind 组件中存在任意文件读取漏洞，版本为低于 2.9.9 的 2.x。存在此漏洞的原因在于缺少 com.mysql.cj.jdbc.admin.MiniAdmin 验证。未经身份认证的远程攻击者可利用此漏洞，通过托管受害者可访问的构建的 MySQL 服务器，发送构建的 JSON 消息，允许其读取任意文件和泄露敏感信息。(CVE-2019-12086) - 拒绝服务 (DoS) 漏洞存在于版本 3.1.7 之前的 Apache POI 组件中，原因在于解析构造的 WMF、EMF、MSG、宏、 DOC、PPT 和 XLS 时存在漏洞。未经身份验证的远程攻击者可利用此问题，通过发送构建的输入，造成应用程序停止响应。(CVE-2017-12626) - 远程代码执行漏洞存在于版本低于 2.9.0.2 的 FasterXML jackson-databind 组件中，原因在于由于 net.sf.ehcache.transaction.manager.DefaultTransactionManagerLookup 使用 ehcache 时，默认输入的处理方式存在缺陷。未经身份验证的远程攻击者可利用此问题绕过身份验证并执行任意命令。(CVE-2019-14379) 请注意，Nessus 并未测试这些问题，而是只依赖于应用程序自我报告的版本号。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - 3.17 之前版本中的 Apache POI 容易遭受拒绝服务攻击1) 解析构建的 WMF、EMF、MSG 和宏时发生无限循环POI 缺陷 61338 和 612942) 解析构建的DOC、PPT 和 XLSPOI 缺陷 52372 和 61295。 (CVE-2017-12626)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

根据其自我报告的版本号，远程 web 服务器上运行的 Oracle Primavera P6 Enterprise Project Portfolio Management (EPPM) 为低于 15.2.18.7 的 15.x、低于 16.2.19.1 的 16.x、低于 17.12.15.0 的 17.x 或低于 18.8.14.0 的 18.8.x。因此，该应用程序受到多个漏洞的影响：

  - Primavera P6 Enterprise Project Portfolio Management 中存在一个授权漏洞。未经身份验证的远程攻击者可通过 HTTP 利用此漏洞，访问网络和 EPPM 上的受控信息。
    (CVE-2019-3020)

  - Primavera P6 Enterprise Project Portfolio Management 中存在一个授权漏洞。经身份验证的低权限远程攻击者可通过 HTTP 利用此漏洞，访问网络和 EPPM 上的受控信息。
    (CVE-2019-2976)

  - Primavera P6 Enterprise Project Portfolio Management 中存在拒绝服务 (DDoS) 漏洞，原因在于解析文档时出现内存不足异常。(CVE-2017-12626)

请注意，Nessus 尚未测试这些问题，而是只依靠应用程序自我报告的版本号来判断。

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
130070	Oracle Primavera Unifier 多个漏洞（2019 年 10 月 CPU）	Nessus	CGI abuses	2019/10/21	2024/4/17	critical
106717	Apache POI < 3.17 多个 DoS 漏洞	Nessus	Misc.	2018/2/9	2024/10/7	high
133260	Oracle 应用程序测试套件多个漏洞（2020 年 1 月 CPU）	Nessus	Misc.	2020/1/27	2024/3/28	critical
130019	Oracle Primavera 网关多个漏洞（2019 年 10 月 CPU）	Nessus	CGI abuses	2019/10/18	2024/4/17	critical
254041	Linux Distros 未修补的漏洞：CVE-2017-12626	Nessus	Misc.	2025/8/24	2025/8/25	high
130059	Oracle Primavera P6 企业项目组合管理 (EPPM) 多个漏洞（2019 年 10 月 CPU）	Nessus	CGI abuses	2019/10/18	2022/12/5	critical

检测

插件搜索

critical

high

critical

critical

high

critical