遠端主機上安裝的 IBM Spectrum Protect Plus Web UI 版本比 10.1.17.1 IBM Spectrum Protect Plus 舊。因此會受到 7237702 公告中所提及的多個弱點影響。

  - Jinja 是可延伸的範本引擎。在 3.1.6 之前的版本中，疏忽了 Jinja 沙箱環境與 |attr 篩選器互動的方式，允許控制範本內容的攻擊者執行任意 Python 程式碼。若要惡意利用此弱點，攻擊者需要控制範本的內容。是否如此，取決於使用 Jinja 的應用程式類型。此弱點會影響執行未受信任範本的應用程式使用者。Jinja 的沙箱會擷取 str.format 呼叫，並確保其不會逸出沙箱。不過，可以使用屬性篩選器繞過沙箱，取得字串純格式方法的參照。在修復之後，attr 篩選器不會再繞過環境的屬性查閱。此弱點已在 3.1.6 中修正。
    (CVE-2025-27516)

  - 此問題會影響 9.0.0之前的套件 node-notifier。由於在傳遞陣列時未清理選項參數它可讓攻擊者在 Linux 機器上執行任意命令。 (CVE-2020-7789)

  - Requests 是一個 HTTP 程式庫。自 Requests 2.3.0 起，Requests 重新導向至 HTTPS 端點時會向目的地伺服器洩漏 Proxy-Authorization 標頭。這是我們使用 `rebuild_proxies` 將 `Proxy-Authorization` 標頭重新附加到要求的結果。對於透過通道傳送的 HTTP 連線，Proxy 會識別要求本身中的標頭，並在轉送至目的地伺服器之前將其移除。但在透過 HTTPS 傳送時，因為 Proxy 無法檢視通道要求，因而必須在 CONNECT 要求中傳送「Proxy-Authorization」標頭。這會導致 Requests 意外將 Proxy 憑證轉送至目的地伺服器，進而允許惡意執行者洩漏敏感資訊。此問題已在 2.31.0 版中修正。
    (CVE-2023-32681)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

远程主机上安装的 IBM Spectrum Protect Plus Web UI 版本低于 10.1.17.1 IBM Spectrum Protect Plus。因此如公告 7237702 所述受到多个漏洞的影响。

  - Jinja 是可扩展的模板引擎。在 3.1.6 版本之前，Jinja 沙盒环境与 |attr 过滤器的交互机制存在设计缺陷，允许控制模板内容的攻击者执行任意 Python 代码。攻击者必须控制模板内容才能利用此漏洞。是否如此取决于使用 Jinja 的应用程序类型。此漏洞会影响执行不受信任模板的应用程序用户。Jinja 的沙盒会捕捉对 str.format 的调用并确保其不会逸出沙盒。Jinja 的沙盒确实会拦截对 str.format 的调用并确保其不会逃逸沙盒环境。然而，攻击者可以使用 |attr 过滤器获取对字符串的明文格式方法的引用，从而绕过沙盒。修复后，|attr 过滤器不再绕过环境的属性查询。此漏洞已在 3.1.6 中修复。
    (CVE-2025-27516)

  - 这会影响 9.0.0之前的程序包 node-notifier。攻击者可利用此漏洞在 Linux 计算机上运行任意命令原因是在向数组传递选项参数时未对其进行审查。 (CVE-2020-7789)

  - Requests 是一个 HTTP 库。自 Requests 2.3.0 起，当重定向到 HTTPS 端点时，Requests 会一直向目标服务器泄露 Proxy-Authorization 标头。这是我们使用 `rebuild_proxies` 向请求重新附加 `Proxy-Authorization` 标头的结果。对于通过隧道发送的 HTTP 连接，代理将识别请求本身的标头并将其删除，然后再转发到目标服务器。但是，当通过 HTTPS 发送时，由于代理无法查看隧道请求，因而必须在 CONNECT 请求中发送 `Proxy-Authorization` 标头。这会导致 Requests 意外将代理凭据转发到目标服务器，从而允许恶意攻击者泄露敏感信息。已在版本 2.31.0 中修补此问题。
    (CVE-2023-32681)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

遠端主機上安裝的 MongoDB 版本低於 6.0.17、7.0.13 和 7.3.4。因此會受到 SERVER-92382 公告中提及的一個弱點影響。

  - PrepareUnique 索引可能會因在次要項目上不正確地強制執行索引限製而造成次要項目損毀，在極端情況下，可能會造成多個次要項目損毀而導致無主要項目。此問題會影響 MongoDB Server v6.0 的 6.0.17之前版本、MongoDB Server v7.0 的 7.0.13 之前版本以及 MongoDB Server v7.3 的 7.3.4 之前版本 (CVE-2024-8305)

  請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且廠商未提供可用的修補程式。

  - prepareUnique 索引可能會造成次要項目損毀這是因為對次要項目錯誤地強制執行索引限制所導致在極端情況下可能會造成多個次要項目損毀而導致無主要項目。此問題會影響 MongoDB Server v6.0 的 6.0.17之前版本、MongoDB Server v7.0 的 7.0.13 之前版本以及 MongoDB Server v7.3 的 7.3.4 之前版本 (CVE-2024-8305)

請注意，Nessus 的判定取決於廠商所報告的套件是否存在。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - prepareUnique 索引可能会因为在辅助节点上未正确强制执行索引限制而造成辅助节点崩溃这在极端情况下可造成多个辅助节点崩溃导致没有主要节点。此问题影响低于 6.0.17 的 MongoDB Server v6.0 版本、低于 7.0.13 的 MongoDB Server v7.0 版本以及低于 7.3.4 的 MongoDB Server v7.3 版本 (CVE-2024-8305)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

远程主机上安装的 MongoDB 版本低于 6.0.17、7.0.13 和 7.3.4。因此，该应用程序受到 SERVER-92382 公告中提及的漏洞的影响。

  - PrepareUnique index 可能会因辅助节点上未正确强制执行索引限制而造成辅助节点崩溃，在极端情况下，可能会造成多个辅助节点崩溃，从而导致无主节点。此问题影响低于 6.0.17 的 MongoDB Server v6.0 版本、低于 7.0.13 的 MongoDB Server v7.0 版本以及低于 7.3.4 的 MongoDB Server v7.3 版本 (CVE-2024-8305)

  请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

リモートホストにインストールされている MongoDB のバージョンは、6.0.17、7.0.13、7.3.4 より前です。したがって、SERVER-92382 のアドバイザリに記載されている脆弱性の影響を受けます。

  - PrepareUnique インデックスが、セカンダリでインデックス制約を不適切に実施するために、セカンダリをクラッシュさせる可能性があります。極端な場合、複数のセカンダリがクラッシュしてプライマリがなくなる可能性があります。この問題は、6.0.17 より前の MongoDB Server v6.0 バージョン、7.0.13 より前の MongoDB Server v7.0 バージョン、7.3.4 より前の MongoDB Server v7.3 に影響します (CVE-2024-8305)

  Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートホストにインストールされているIBM Spectrum Protect Plus Web UIのバージョンは、 10.1.17.1 IBM Spectrum Protect Plusより前です。したがって、7237702のアドバイザリに記載されている複数の脆弱性の影響を受けます。

  - Jinja は、拡張可能なテンプレートエンジンです。3.1.6 より前、Jinja サンドボックス環境が |attr フィルターと対話する方法の不備により、テンプレートのコンテンツを制御する攻撃者が任意の Python コードを実行する可能性があります。この脆弱性を悪用するには、攻撃者はテンプレートのコンテンツを制御する必要があります。そのようになるかどうかは、Jinja を使用するアプリケーションの種類によって異なります。この脆弱性は、信頼できないテンプレートを実行するアプリケーションのユーザーに影響を与えます。Jinja のサンドボックスは str.format への呼び出しをキャッチし、サンドボックスをエスケープしないようにします。ただし、attr フィルターを使用して、文字列のプレーンな書式設定メソッドへの参照を取得し、サンドボックスをバイパスする可能性があります。修正後、attr フィルターは環境の属性検索をバイパスしなくなりました。この脆弱性は 3.1.6 で修正されています。
    (CVE-2025-27516)

  - これは 9.0.0より前のパッケージ node-notifier に影響します。配列が渡されるときにオプションパラメーターがサニタイズされないため、攻撃者はLinuxマシンで任意のコマンドを実行する可能性があります。CVE-2020-7789

  - Requests は HTTP ライブラリです。Requests 2.3.0以降では、Requests が HTTPS エンドポイントにリダイレクトされた際に、Proxy-Authorization ヘッダーが宛先サーバーに漏洩しています。これは、リクエストを「Proxy-Authorization」ヘッダーに再添付するために「rebuild_proxies」を使用する方法の製品です。トンネル経由で送信される HTTP 接続の場合、プロキシはリクエスト自体のヘッダーを識別し、宛先サーバーに転送する前にそれを削除します。ただし、プロキシはトンネル化されたリクエストを確認できないため、HTTPS 経由で送信するときは、CONNECT リクエストで「Proxy-Authorization」ヘッダーを送信する必要があります。これにより、リクエストが意図せずにプロキシ認証情報を宛先サーバーに転送し、悪意のある攻撃者が機密情報を漏洩させる可能性があります。この問題には、バージョン 2.31.0 でパッチが適用されています。
    (CVE-2023-32681)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - prepareUnique インデックスは、セカンダリに対するインデックス制約の不適切な強制により、セカンダリをクラッシュさせることがあり、極端な場合には、複数のセカンダリがクラッシュしてプライマリがなくなる可能性があります。この問題は、6.0.17 より前の MongoDB Server v6.0 バージョン、7.0.13 より前の MongoDB Server v7.0 バージョン、7.3.4 より前の MongoDB Server v7.3 に影響します (CVE-2024-8305)

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

The version of MongoDB installed on the remote host is prior to 6.0.17, 7.0.13 and 7.3.4. It is, therefore, affected by  a vulnerability as referenced in the SERVER-92382 advisory.

  - PrepareUnique index may cause secondaries to crash due to incorrect enforcement of index constraints on     secondaries, where in extreme cases may cause multiple secondaries crashing leading to no primaries. This issue     affects MongoDB Server v6.0 versions prior to 6.0.17, MongoDB Server v7.0 versions prior to 7.0.13 and MongoDB     Server v7.3 versions prior to 7.3.4 (CVE-2024-8305)

  Note that Nessus has not tested for this issue but has instead relied only on the application's self-reported version   number.

The version of IBM Spectrum Protect Plus Web UI installed on the remote host is prior to 10.1.17.1 IBM Spectrum Protect Plus. It is, therefore, affected by multiple vulnerabilities as referenced in the 7237702 advisory.

  - Jinja is an extensible templating engine. Prior to 3.1.6, an oversight in how the Jinja sandboxed     environment interacts with the |attr filter allows an attacker that controls the content of a template to     execute arbitrary Python code. To exploit the vulnerability, an attacker needs to control the content of a     template. Whether that is the case depends on the type of application using Jinja. This vulnerability     impacts users of applications which execute untrusted templates. Jinja's sandbox does catch calls to     str.format and ensures they don't escape the sandbox. However, it's possible to use the |attr filter to     get a reference to a string's plain format method, bypassing the sandbox. After the fix, the |attr filter     no longer bypasses the environment's attribute lookup. This vulnerability is fixed in 3.1.6.
    (CVE-2025-27516)

  - This affects the package node-notifier before 9.0.0. It allows an attacker to run arbitrary commands on     Linux machines due to the options params not being sanitised when being passed an array. (CVE-2020-7789)

  - Requests is a HTTP library. Since Requests 2.3.0, Requests has been leaking Proxy-Authorization headers to     destination servers when redirected to an HTTPS endpoint. This is a product of how we use     `rebuild_proxies` to reattach the `Proxy-Authorization` header to requests. For HTTP connections sent     through the tunnel, the proxy will identify the header in the request itself and remove it prior to     forwarding to the destination server. However when sent over HTTPS, the `Proxy-Authorization` header must     be sent in the CONNECT request as the proxy has no visibility into the tunneled request. This results in     Requests forwarding proxy credentials to the destination server unintentionally, allowing a malicious     actor to potentially exfiltrate sensitive information. This issue has been patched in version 2.31.0.
    (CVE-2023-32681)

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

The Linux/Unix host has one or more packages installed that are impacted by a vulnerability without a vendor supplied patch available.

  - prepareUnique index may cause secondaries to crash due to incorrect enforcement of index constraints on     secondaries, where in extreme cases may cause multiple secondaries crashing leading to no primaries. This     issue affects MongoDB Server v6.0 versions prior to 6.0.17, MongoDB Server v7.0 versions prior to 7.0.13     and MongoDB Server v7.3 versions prior to 7.3.4 (CVE-2024-8305)

Note that Nessus relies on the presence of the package as reported by the vendor.

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
240343	IBM Spectrum Protect Plus Web UI 10.1.0 < 10.1.17.1 (7237702)	Nessus	Misc.	2025/6/25	2026/3/11	medium
240343	IBM Spectrum Protect Plus Web UI 10.1.0 < 10.1.17.1 (7237702)	Nessus	Misc.	2025/6/25	2026/3/11	medium
232848	MongoDB 6.0.x < 6.0.17 / 7.0.x < 7.0.13 / 7.3.x < 7.3.4 錯誤強制執行索引限制 (SERVER-92382)	Nessus	Databases	2025/3/19	2026/3/13	medium
262261	Linux Distros 未修補的弱點：CVE-2024-8305	Nessus	Misc.	2025/9/10	2025/9/10	medium
262261	Linux Distros 未修补的漏洞：CVE-2024-8305	Nessus	Misc.	2025/9/10	2025/9/10	medium
232848	MongoDB 6.0.x < 6.0.17 / 7.0.x < 7.0.13 / 7.3.x < 7.3.4 未正确执行索引限制 (SERVER-92382)	Nessus	Databases	2025/3/19	2026/3/13	medium
232848	MongoDB 6.0.x < 6.0.17 / 7.0.x < 7.0.13 / 7.3.x < 7.3.4 インデックス制約の不適切な実施 (SERVER-92382)	Nessus	Databases	2025/3/19	2026/3/13	medium
240343	IBM Spectrum Protect Plus Web UI 10.1.0 < 10.1.17.1 7237702	Nessus	Misc.	2025/6/25	2026/3/11	medium
262261	Linux Distros のパッチ未適用の脆弱性: CVE-2024-8305	Nessus	Misc.	2025/9/10	2025/9/10	medium
232848	MongoDB 6.0.x < 6.0.17 / 7.0.x < 7.0.13 / 7.3.x < 7.3.4 incorrect enforcement of index constraints (SERVER-92382)	Nessus	Databases	2025/3/19	2026/3/13	medium
240343	IBM Spectrum Protect Plus Web UI 10.1.0 < 10.1.17.1 (7237702)	Nessus	Misc.	2025/6/25	2026/3/11	medium
262261	Linux Distros Unpatched Vulnerability : CVE-2024-8305	Nessus	Misc.	2025/9/10	2025/9/10	medium

检测

插件搜索

medium

medium

medium

medium

medium

medium

medium

medium

medium

medium

medium

medium