远程 Ubuntu 14.04 LTS / 16.04 LTS / 18.04 LTS / 20.04 LTS / 22.04 LTS / 24.04 LTS/ 26.04 LTS 主机上安装的程序包受到 USN-8214-1 公告中提及的一个漏洞影响。

    据发现，NLTK 未能在打开恶意构建的 zip 文件时正确处理文件提取。攻击者可能会利用此问题在系统中创建任意文件并执行任意代码。

Tenable 已直接从 Ubuntu 安全公告中提取上述描述块。

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - nltk/nltk 的 NLTK 下载程序组件中存在一个影响所有版本的严重漏洞。的
    nltk/downloader.py 中的 _unzip_iter 函数使用 zipfile.extractall() 而不执行路径验证或安全检查。这允许攻击者构建恶意 zip 程序包当 NLTK 下载并提取这些程序包时可以执行任意代码。出现此漏洞的原因是 NLTK 假设所有下载的程序包均受到信任并在未经验证的情况下进行提取。若恶意程序包中存在 Python 文件如
    __init__.py此类文件导入自动执行可导致远程代码执行。此问题可导致全面系统受损包括文件系统访问、网络访问和潜在的持久性机制。 (CVE-2025-14009)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

远程主机上安装的 IBM Cognos Analytics 版本低于 12.0.412.0.4 FP3 或12.1.x12.1.3低于 FP2。因此，如 IBM 安全公告 No.
7287209:

  - NLTK 版本 3.9.2 和之前版本容易遭受任意代码执行的攻击，原因是 StanfordSegmenter 模块中错误的输入验证。该模块动态加载外部 Java .jar文件，无需验证或沙盒化。攻击者可提供或替换 JAR 文件，从而在导入时执行任意 Java 字节码。（CVE-2026-0848）

  - lodash CVE-2021-23337 补丁添加了对 _.template 中变量选项的验证，但未对 options.imports 密钥名应用相同的验证。两个路径都流入同一个 Function() 构造函数接收器。应用程序传递不受信任的输入作为 options.imports 密钥名称时，攻击者可注入默认参数表达式，在模板编译时执行任意代码。
    (CVE-2026-4800)

  - cryptography 程序包旨在为 Python 开发人员提供加密基元和方法。
    从 45.0.0 之前到 46.0.7之前，如果将非连续缓冲区传递到接受 Python 缓冲区的 API（例如 Hash.update（）），这可导致缓冲区溢出。（CVE-2026-39892）

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
310738	Ubuntu 14.04 LTS / 16.04 LTS / 18.04 LTS / 20.04 LTS / 22.04 LTS / 24.04 LTS / 26.04LTS：NLTK 漏洞 (USN-8214-1)	Nessus	Ubuntu Local Security Checks	2026/4/28	2026/5/2	critical
299599	Linux Distros 未修补的漏洞：CVE-2025-14009	Nessus	Misc.	2026/2/19	2026/9/2	high
347960	IBM Cognos Analytics 12.0.4 < 12.0.4 FP3 / 12.1.x < 12.1.3 FP2 多种漏洞（7287209）	Nessus	CGI abuses	2026/9/18	2026/9/18	critical

检测

插件搜索

critical

high

critical