因此，该程序受到 ALAS2023-2025-917 公告中提及的一个漏洞影响。

    在进行地址列表折行处理时，若分隔逗号位于折行后的行尾且该行需进行 Unicode 编码，则该逗号本身也会被 Unicode 编码。预期行为是分隔逗号应保持为普通逗号。这可能会导致地址标头被某些邮件服务器误译。(CVE-2025-1795)

Tenable 已直接从测试产品的安全公告中提取上述描述块。

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

AlmaLinux 9.6 主机上存在安装的程序包，该程序包受到 TuxCare ALMALINUX9.6：CLSA-2026：2026：1778233301公告中提及的多个漏洞的影响。

  - CPython 3.9 及更早版本不允许为 SSLContext.set_npn_protocols（） 配置空列表 （[]），这是底层 OpenSSL API 的无效值。这会在使用 NPN 时造成缓冲区过度读取（请参阅 CVE-2024-5535，了解 OpenSSL）。该漏洞是低危问题，原因是 NPN 未得到广泛使用以及指定空列表可能在实践中并不常见（通常会配置协议名称）。(CVE-2024-5642)

  - 在仅包含可展开字符的电子邮件标头中折叠长注释时，将不保留括号。如果地址受用户控制且未经审查，这可用于将标头注入电子邮件消息。（CVE-2025-11468）

  - 由 urllib.request.DataHandler 解析的用户控制数据 URL 允许通过数据 URL mediatype 中的换行符注入标头。（CVE-2025-15282）

  - 在地址列表折叠过程中，当分隔逗号位于折叠行上并且该行要采用 unicode 编码时，分隔符本身也会采用 unicode 编码。预期行为是分隔逗号应保持为普通逗号。这可能会导致地址标头被某些邮件服务器误译。(CVE-2025-1795)

  - html.parser.HTMLParser 类在处理某些构建的畸形输入时具有更严重情况的二次复杂度，可能导致放大的拒绝服务。（CVE-2025-6069）

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程主机上安装的 python3 版本低于 3.7.16-1。因此，该程序受到 ALAS2-2025-2808 公告中提及的一个漏洞影响。

    在进行地址列表折行处理时，若分隔逗号位于折行后的行尾且该行需进行 Unicode 编码，则该逗号本身也会被 Unicode 编码。预期行为是分隔逗号应保持为普通逗号。这可能会导致地址标头被某些邮件服务器误译。(CVE-2025-1795)

Tenable 已直接从测试产品的安全公告中提取上述描述块。

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Debian 11 主机上存在安装的程序包该程序包受到 dla-4354 公告中提及的多个漏洞的影响。

    - ------------------------------------------------- ------------------------ Debian LTS 公告 DLA-4354-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Andrej Shadura 2025 年 10 月 31 日 https://wiki.debian.org/LTS
    - -------------------------------------------------------------------------

    程序包pypy3 版本 7.3.5+dfsg-2+deb11u5 CVE ID CVE-2024-6232 CVE-2024-6923 CVE-2024-7592 CVE-2024-11168 CVE-2025-0938 CVE-2025-1795 CVE-2025-6069 CVE-2025-8291

    此上传修复了 PyPyPython 3 语言的替代实现随附的 Python 标准库中的一些安全问题。

    CVE-2024-6232

        tarfile 模块以前使用允许回溯的正则表达式来解析 tar 解析的标头值可被用于通过特制 tar 存档造成拒绝服务 (ReDoS)。由于 tar 标头的已知格式不需要回溯即可可靠解析因此新的解析方法仅需要单次通过字节流。

    CVE-2024-6923

        电子邮件模块在序列化电子邮件消息时未正确引用换行符这可被用于注入会影响电子邮件标头解释的换行符。攻击者可造成完全跳过某些电子邮件标头或者可能在其他标头内隐藏恶意标头。

    CVE-2024-7592

        http.cookies 在解析 Cookie 值中引用字符所对应的反斜线包含反斜线的 Cookie 时将使用复杂性为二次的算法从而导致解析该值时占用过多 CPU 资源。例如解析一个 20000 多个字节的 cookie 大约需要一秒 (ReDoS)。

    CVE-2024-11168 和 CVE-2025-0938

        urllib.parse.urlsplit 和 urlparse 函数未正确验证包含方括号的域名允许非 IPv6 或 IPvFuture 主机。

    CVE-2025-1795

        在电子邮件模块中在地址列表折叠期间当分隔逗号以折叠行结尾且该行要进行 Unicode 编码时则分隔符本身也会进行 Unicode 编码。预期行为是分隔逗号应保持为普通逗号。这可导致某些邮件服务器错误解释地址标头。

    CVE-2025-6069

        html.parser.HTMLParser 类在处理某些特制的畸形输入时存在最坏情况的复杂性的二次方可能导致拒绝服务放大。

    CVE-2025-8291

        zipfile 模块不会检查 ZIP64 中央目录末端 (EOCD) 的有效性。
        定位器记录偏移值不会用于定位 ZIP64 EOCD 记录而是会假设 ZIP64 EOCD 记录是 ZIP 存档中的上一个记录。这可能被滥用于创建 zipfile 模块处理方式与其他 ZIP 实现不同的 ZIP 存档。修复会保留此行为，但会检查 ZIP64 EOCD 定位器记录中指定的偏移是否与预期值相符。

    对于 Debian 11 Bullseye这些问题已在 7.3.5+dfsg-2+deb11u5 版本中修复。

    我们建议您升级 pypy3 程序包。

    如需了解 pypy3 的详细安全状态，请参阅其安全跟踪页面：
    https://security-tracker.debian.org/tracker/pypy3

    有关 Debian LTS 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://wiki.debian.org/LTS

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

因此，该软件受到 ALAS2023-2025-871 公告中提及的多个漏洞影响。

    在 CPython 的“venv”模块和 CLI 中发现一个漏洞，即未正确引用创建虚拟环境时提供的路径名称，这使创建者可以将命令注入虚拟环境激活脚本（即 source venv/bin/activate）。这意味着攻击者控制的虚拟环境可在被激活时运行命令。
    非攻击者创建的虚拟环境或在使用前未激活的虚拟环境（即 ./venv/bin/python）不受影响。(CVE-2024-9287)

    Python 标准库函数“urllib.parse.urlsplit”和“urlparse”接受包含方括号的域名，而根据 RFC 3986 标准，此类域名是无效的。方括号仅应用作分隔符，用于在 URL 中指定 IPv6 及 IPvFuture 类型的主机地址。这可能会导致 Python URL 解析器和其他符合规范的 URL 解析器之间出现差异解析。(CVE-2025-0938)

    在进行地址列表折行处理时，若分隔逗号位于折行后的行尾且该行需进行 Unicode 编码，则该逗号本身也会被 Unicode 编码。预期行为是分隔逗号应保持为普通逗号。这可能会导致地址标头被某些邮件服务器误译。(CVE-2025-1795)

Tenable 已直接从测试产品的安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

AlmaLinux 9.2 主机上存在安装的程序包，该程序包受到 TuxCare ALMALINUX9.2：CLSA-2026：1776330599 1公告中提及的多个漏洞的影响。

  - 在仅包含可展开字符的电子邮件标头中折叠长注释时，将不保留括号。如果地址受用户控制且未经审查，这可用于将标头注入电子邮件消息。（CVE-2025-11468）

  - 由 urllib.request.DataHandler 解析的用户控制数据 URL 允许通过数据 URL mediatype 中的换行符注入标头。（CVE-2025-15282）

  - 在地址列表折叠过程中，当分隔逗号位于折叠行上并且该行要采用 unicode 编码时，分隔符本身也会采用 unicode 编码。预期行为是分隔逗号应保持为普通逗号。这可能会导致地址标头被某些邮件服务器误译。(CVE-2025-1795)

  - html.parser.HTMLParser 类在处理某些构建的畸形输入时具有更严重情况的二次复杂度，可能导致放大的拒绝服务。（CVE-2025-6069）

  - 使用 http.cookies.Morsel 时，用户控制的 cookie 值和参数可允许将 HTTP 标头注入消息。Patch 拒绝 Cookie 名称、值和参数中的所有控制字符。
    (CVE-2026-0672)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程主机上安装的 Oracle Database Server 版本受到 2025 年 10 月 CPU 公告中提及的多个漏洞影响。

  - Oracle Database Server 的 SQLcl (jgit) 组件中存在漏洞。支持的版本中受影响的是 23.4-23.9。利用此漏洞的难度较大，拥有“有效帐户”特权的低权限攻击者可通过 HTTP 进行网络访问，从而破坏 SQLcl (jgit)。除攻击者以外的他人进行交互是实现成功攻击的必要条件。若成功攻击此漏洞，则可导致在未经授权的情况下访问重要数据，或完整访问所有可供访问的 SQLcl (jgit) 数据。
    (CVE-2025-4949)

  - Oracle Database Server 的 RDBMS (Python) 组件中的漏洞。支持的版本中受影响的是 21.3-21.19 和 23.4-23.9。利用此漏洞的难度较小，具有“经过身份验证的用户”特权且可登录 RDBMS (Python) 执行所在基础设施的低权限攻击者可借此破坏 RDBMS (Python)。除攻击者以外的他人进行交互是实现成功攻击的必要条件。若成功攻击此漏洞，则可导致接管 RDBMS (Python)。
    CVE-2024-12254、CVE-2024-12718、CVE-2024-6923、CVE-2024-8088、CVE-2025-1795、CVE-2025-4138、CVE-2025-4330、CVE-2025-4435、CVE-2025-4517）

  - Oracle Database Server 的 Java VM 组件中存在漏洞。支持的版本中受影响的是 19.3-19.28、21.3-21.19 和 23.4-23.9。利用此漏洞的难度较大，未经身份验证的攻击者可通过 Oracle Net 进行网络访问，从而破坏 Java VM。若攻击成功，攻击者可在未经授权的情况下创建、删除或修改关键数据或所有 Java VM 可访问的数据。(CVE-2025-61881)

  - Oracle Database Server 的 Portable Clusterware 组件中存在漏洞。支持的版本中受影响的是 19.3-19.28、21.3-21.19 和 23.4-23.9。利用此漏洞的难度较小，未经身份验证的攻击者可通过 Bonjour 进行网络访问，从而破坏 Portable Clusterware。虽然漏洞位于 Portable Clusterware 中，但攻击可能对其他产品造成重大影响 (范围更改)。若成功攻击此漏洞，则可导致对 Portable Clusterware 可访问数据子集进行未经授权的读取访问。(CVE-2025-53047)

  - Oracle Database Server 的 Unified Audit 组件中存在的漏洞。支持的版本中受影响的是 23.4-23.9。利用此漏洞的难度较小，拥有 DBA 特权并通过 Oracle Net 访问网络的高权限攻击者可借此破坏 Unified Audit。若成功攻击此漏洞，则可导致在未经授权的情况下更新、插入或删除某些 Unified Audit 可访问数据的访问权限。(CVE-2025-61749)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

AlmaLinux 9.2 主机上存在安装的程序包，该程序包受到 TuxCare ALMALINUX9.2：CLSA-2026：1778129970 1公告中提及的多个漏洞的影响。

  - 在地址列表折叠过程中，当分隔逗号位于折叠行上并且该行要采用 unicode 编码时，分隔符本身也会采用 unicode 编码。预期行为是分隔逗号应保持为普通逗号。这可能会导致地址标头被某些邮件服务器误译。(CVE-2025-1795)

  - html.parser.HTMLParser 类在处理某些构建的畸形输入时具有更严重情况的二次复杂度，可能导致放大的拒绝服务。（CVE-2025-6069）

  - 使用 http.cookies.Morsel 时，用户控制的 cookie 值和参数可允许将 HTTP 标头注入消息。Patch 拒绝 Cookie 名称、值和参数中的所有控制字符。
    (CVE-2026-0672)

  - CPython 中用于处理旧版 *.pyc 文件 （SourcelessFileLoader） 的导入钩子在 FileLoader（基类）中得到错误处理，因此不会使用 io.open_code（） 读取 .pyc 文件。因此，不会触发此审计事件的 sys.audit 处理程序。（CVE-2026-2297）

  - 的 CVE-2026-0672修复不完整，它拒绝了 http.cookies.Morsel 中的控制字符。Morsel.update()、|= 运算符和 unpickling 路径未经过修补，允许控制字符绕过输入验证。此外，BaseCookie.js_output（） 缺少应用于 BaseCookie.output（） 的输出验证。（CVE-2026-3644）

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

Rocky Linux 9.6 主机上存在安装的程序包，该程序包受到 TuxCare ALMALINUX9.6：CLSA-2026：1778233301公告中提及的多个漏洞的影响。

  - CPython 3.9 及更早版本不允许为 SSLContext.set_npn_protocols（） 配置空列表 （[]），这是底层 OpenSSL API 的无效值。这会在使用 NPN 时造成缓冲区过度读取（请参阅 CVE-2024-5535，了解 OpenSSL）。该漏洞是低危问题，原因是 NPN 未得到广泛使用以及指定空列表可能在实践中并不常见（通常会配置协议名称）。(CVE-2024-5642)

  - 在仅包含可展开字符的电子邮件标头中折叠长注释时，将不保留括号。如果地址受用户控制且未经审查，这可用于将标头注入电子邮件消息。（CVE-2025-11468）

  - 由 urllib.request.DataHandler 解析的用户控制数据 URL 允许通过数据 URL mediatype 中的换行符注入标头。（CVE-2025-15282）

  - 在地址列表折叠过程中，当分隔逗号位于折叠行上并且该行要采用 unicode 编码时，分隔符本身也会采用 unicode 编码。预期行为是分隔逗号应保持为普通逗号。这可能会导致地址标头被某些邮件服务器误译。(CVE-2025-1795)

  - html.parser.HTMLParser 类在处理某些构建的畸形输入时具有更严重情况的二次复杂度，可能导致放大的拒绝服务。（CVE-2025-6069）

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Ubuntu 18.04 LTS / 20.04 LTS / 22.04 LTS / 24.04 LTS / 24.10 / 25.04 主机上安装的多个程序包受到公告 USN-7570-1 中提及的多个漏洞影响。

    发现 Python 在解码期间未正确处理某些 unicode 字符。攻击者可能会利用此问题发起拒绝服务攻击。(CVE-2025-4516)

    发现 Python 未能正确处理折叠行中含有列表分隔符的电子邮件标头的 unicode 编码。攻击者可能利用此问题泄露敏感信息。
    (CVE-2025-1795)

Tenable 已直接从 Ubuntu 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - 在地址列表折叠期间，当分隔逗号在折叠的行结束时，并且该行要进行 unicode 编码，则分隔符本身也会进行 unicode 编码。预期行为是分隔逗号仍然为计划逗号。这可导致地址标头被一些邮件服务器错误解释。 (CVE-2025-1795)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

远程 Debian 11 主机上安装的多个程序包受到 dla-4087 公告中提及的多个漏洞影响。

    ------------------------------------------------------------------------- Debian LTS 公告 DLA-4087-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Sean Whitton 2025 年 3 月 20 日 https://wiki.debian.org/LTS-------------------------------------------------------------------------

    程序包：python3.9 版本：3.9.2-1+deb11u3 CVE ID：CVE-2022-0391 CVE-2025-0938 CVE-2025-1795

    在 Python 编程语言的主要解释器 cpython 3.9 随附的模块中发现多个漏洞。

    CVE-2022-0391

        urllib.parse 模块中的函数未对 URL 进行审查以删除换行符，这可导致注入攻击。

    CVE-2025-0938

        urllib.parse 和 urlparse 模块中的函数接受包含方括号的域名，而这些域名是无效的。这些分隔符仅允许用于 IPv6 和 IPvFuture 主机。此问题可能会导致 Python URL 解析器和其他符合规范的 URL 解析器之间出现差异解析。

    CVE-2025-1795

        电子邮件标头解析和折叠的实现会对用于分隔列表项目的逗号进行编码，这可导致接收应用程序将列表中的两项解释为一项，将其视为一项。

    对于 Debian 11 bullseye，已在 3.9.2-1+deb11u3 版本中修复这些问题。

    我们建议您升级 python3.9 程序包。

    如需了解更多 python3.9 的详细安全状态，请参阅其安全跟踪页面：
    https://security-tracker.debian.org/tracker/python3.9

    有关 Debian LTS 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://wiki.debian.org/LTSAttachment:signature.ascDescription: PGP signature

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
233704	Amazon Linux 2023：python3、python3-devel、python3-idle (ALAS2023-2025-917)	Nessus	Amazon Linux Local Security Checks	2025/4/1	2025/4/1	low
359763	AlmaLinux 9.6 [TuxCare] 安全更新：python-unversioned-command / python3 / python3-debug / 等多个漏洞（ALMALINUX9.6：CLSA-2026：1778233301）	Nessus	Alma Linux Local Security Checks	2026/10/1	2026/10/1	medium
233693	Amazon Linux 2：python3 (ALAS-2025-2808)	Nessus	Amazon Linux Local Security Checks	2025/4/1	2025/4/1	low
272097	Debian dla-4354pypy3 - 安全更新	Nessus	Debian Local Security Checks	2025/10/31	2025/10/31	medium
233393	Amazon Linux 2023：python3.11、python3.11-devel、python3.11-idle (ALAS2023-2025-871)	Nessus	Amazon Linux Local Security Checks	2025/3/27	2025/3/27	medium
361175	AlmaLinux 9.2 [TuxCare] 安全更新：python-unversioned-command / python3 / python3-debug / 等多个漏洞（ALMALINUX9.2：CLSA-2026：1776330599）	Nessus	Alma Linux Local Security Checks	2026/10/1	2026/10/1	medium
271256	Oracle Database Server (2025 年 10 月 CPU)	Nessus	Databases	2025/10/23	2026/2/24	high
352503	AlmaLinux 9.2 [TuxCare] 安全更新：python3.11 / python3.11-debug / python3.11-devel / python3.11-idle / 等多个漏洞（ALMALINUX9.2：CLSA-2026：1778129970）	Nessus	Alma Linux Local Security Checks	2026/9/30	2026/9/30	medium
359632	Rocky Linux 9.6 [TuxCare] 安全更新：python-unversioned-command / python3 / python3-debug / 等多个漏洞（ALMALINUX9.6：CLSA-2026：1778233301）	Nessus	Rocky Linux Local Security Checks	2026/10/1	2026/10/1	medium
240097	Ubuntu 18.04 LTS / 20.04 LTS / 22.04 LTS / 24.04 LTS / 24.10 / 25.04：Python 漏洞 (USN-7570-1)	Nessus	Ubuntu Local Security Checks	2025/6/17	2025/6/17	medium
232012	Linux Distros 未修补的漏洞: CVE-2025-1795	Nessus	Misc.	2025/3/6	2026/11/6	low
232991	Debian dla-4087：idle-python3.9 - 安全更新	Nessus	Debian Local Security Checks	2025/3/20	2025/3/20	medium

检测

插件搜索

low

medium

low

medium

medium

medium

high

medium

medium

medium

low

medium