远程主机上安装的 Primavera P6 Enterprise Project Portfolio Management 版本受到 2026 年 1 月 CPU 公告中提及的多个漏洞的影响。

  - Oracle Construction and Engineering 的 Primavera P6 企业项目组合管理产品组件Team Member (DOMPurify) 中的漏洞。支持的版本中受影响的是 21.12.0.0-21.12.21.5、22.12.0.0-22.12.20.0、23.12.0.0-23.12.17.0 和 24.12.0.0-24.12.11.0。难以利用的漏洞允许低权限攻击者登录 Primavera P6 企业项目组合管理执行的基础架构从而破坏 Primavera P6 企业项目组合管理。除攻击者以外的他人进行交互是实现成功攻击的必要条件，尽管漏洞存在于 Primavera P6 Enterprise Project Portfolio Management 中，但攻击也可能会严重影响其他产品（范围变化）。成功利用此漏洞进行攻击可导致在未经授权的情况下更新、插入或删除部分 Primavera P6 Enterprise Project Portfolio Management 可访问数据的访问权限，以及在未经授权的情况下读取 Primavera P6 Enterprise Project Portfolio Management 可访问数据的子集。(CVE-2025-26791)

  - Oracle Construction and Engineering 的 Primavera P6 企业项目组合管理产品中的漏洞组件Integrators (Apache CXF)。支持的版本中受影响的是 22.12.0.0-22.12.20.0、23.12.0.0-23.12.17.0 和 24.12.0.0-24.12.11.0。难以利用的漏洞允许未经身份验证的攻击者通过 HTTP 进行网络访问，危害 Primavera P6 Enterprise Project Portfolio Management。成功攻击此漏洞可导致在未经授权的情况下更新、插入或删除某些 Primavera P6 Enterprise Project Portfolio Management 可访问数据的访问权限以及对 Primavera P6 Enterprise Project Portfolio Management 可访问数据子集进行未经授权的读取访问以及在未经授权的情况下造成Primavera P6 Enterprise Project Portfolio Management 部分拒绝服务部分 DOS。 (CVE-2025-48795)

  - Oracle Construction and Engineering 的 Primavera P6 企业项目组合管理产品中的漏洞组件Web Access (Apache Commons BeanUtils)。支持的版本中受影响的是 21.12.0.0-21.12.21.5、22.12.0.0-22.12.20.0、23.12.0.0-23.12.17.0 和 24.12.0.0-24.12.6.0。难以利用的漏洞允许具有网络访问权限的未经身份验证的攻击者通过 HTTP/2 危害 Primavera P6 企业项目组合管理。成功利用此漏洞进行攻击可导致在未经授权的情况下对 Primavera P6 Enterprise Project Portfolio Management 可访问数据的子集进行读取访问。(CVE-2025-48734)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程主机上安装的 AOS 版本低于 7.5.1.1。因此如公告 NXSA-AOS-7.5.1.1 所述受到多个漏洞的影响。

  - 电子邮件模块尤其是 BytesGenerator 类在序列化电子邮件消息时未正确为电子邮件标头引用换行符允许在序列化电子邮件时进行标头注入。此更新仅在使用 LiteralHeader 写入不遵守电子邮件折叠规则的标头时适用新行为将拒绝 BytesGenerator 中未正确折叠的标头。 (CVE-2026-1299)

  - Apache CXF 将基于大型流的消息存储为本地文件系统中的临时文件。已引入缺陷，这意味着整个临时文件被读入内存，然后记录。攻击者可能会利用此问题，通过造成内存不足异常来造成拒绝服务攻击。
    此外，可以将 CXF 配置为加密临时文件，以防止敏感凭据在本地文件系统上缓存未加密，但是此缺陷意味着缓存文件会以未加密的方式写出到日志中。建议用户升级到修复了此问题的版本 3.5.11、3.6.6 、4.0.7 或 4.1.1。(CVE-2025-48795)

  - imaplib 模块如果传递用户控制的命令则可能会使用换行符注入其他命令。缓解措施拒绝包含控制字符的命令。 (CVE-2025-15366)

  - poplib 模块如果传递用户控制的命令则可使用换行符注入其他命令。缓解措施拒绝包含控制字符的命令。 (CVE-2025-15367)

  - 受用户控制的标头名称和包含换行符的值可允许注入 HTTP 标头。
    (CVE-2026-0865)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程主机上安装的 Oracle Business Intelligence Enterprise Edition (OAS) 8.2.0.0.0 版本受到 2025 年 10 月 CPU 公告中提及的多个漏洞的影响。

  - Oracle Analytics 的 Oracle Business Intelligence Enterprise Edition 产品中的漏洞组件Analytics Web Administration。支持的版本中受影响的是 7.6.0.0.0 和 8.2.0.0.0。可轻松利用的漏洞允许具有网络访问权限的高权限攻击者通过 HTTP 破坏 Oracle Business Intelligence Enterprise Edition。若要成功发动攻击，必须与攻击者以外的其他人进行人工交互；虽然该漏洞存在于 Oracle Business Intelligence Enterprise Edition 中，但攻击可能对其他产品造成重大影响（范围更改）。
    成功攻击此漏洞可导致接管 Oracle Business Intelligence Enterprise Edition。(CVE-2025-53049)

  - 问题摘要使用 RFC7250 原始公钥 (RPK) 对服务器进行认证的客户端可能无法注意到服务器未经认证因为设置 SSL_VERIFY_PEER 验证模式时握手不会按预期中止。影响摘要客户端未检测到服务器身份验证失败时使用原始公钥的 TLS 和 DTLS 连接可能容易受到中间人攻击。默认情况下 RPK 在 TLS 客户端和 TLS 服务器中均禁用。仅当 TLS 客户端明确允许服务器使用 RPK并且服务器同样允许发送 RPK 而非 X.509 证书链时才会出现此问题。通过将验证模式设置为 SSL_VERIFY_PEER, 受影响的客户端是那些在服务器的 RPK 无法匹配预期公钥之一时依赖于握手失败的客户端。启用了服务器端原始公钥的客户端仍可通过调用 SSL_get_verify_result() 发现原始公钥验证失败、会发现原始公钥验证失败且采取适当操作不受影响。OpenSSL 中 RPK 支持的初始实现引入此问题 3.2。 3.4、 3.3、 3.2、 3.1 和 3.0 中的 FIPS 模块不受此问题的影响。 (CVE-2024-12797)

  - Apache Commons IO 中不受控制的资源消耗漏洞。org.apache.commons.io.input.XmlStreamReader 类可能在处理恶意特制输入时过度消耗 CPU 资源。此问题会影响 Apache Commons IO 2.0 至 2.14.0。建议用户升级到修复了此问题的 2.14.0 或更高版本。(CVE-2024-47554)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程主机上安装的 Oracle Business Intelligence Enterprise Edition (OAS) 7.6.0.0.0 版本受到 2025 年 10 月 CPU 公告中提及的多个漏洞的影响。

  - Oracle Analytics 的 Oracle Business Intelligence Enterprise Edition 产品中的漏洞组件Analytics Web Administration。支持的版本中受影响的是 7.6.0.0.0 和 8.2.0.0.0。可轻松利用的漏洞允许具有网络访问权限的高权限攻击者通过 HTTP 破坏 Oracle Business Intelligence Enterprise Edition。若要成功发动攻击，必须与攻击者以外的其他人进行人工交互；虽然该漏洞存在于 Oracle Business Intelligence Enterprise Edition 中，但攻击可能对其他产品造成重大影响（范围更改）。
    成功攻击此漏洞可导致接管 Oracle Business Intelligence Enterprise Edition。(CVE-2025-53049)

  - 问题摘要使用 RFC7250 原始公钥 (RPK) 对服务器进行认证的客户端可能无法注意到服务器未经认证因为设置 SSL_VERIFY_PEER 验证模式时握手不会按预期中止。影响摘要客户端未检测到服务器身份验证失败时使用原始公钥的 TLS 和 DTLS 连接可能容易受到中间人攻击。默认情况下 RPK 在 TLS 客户端和 TLS 服务器中均禁用。仅当 TLS 客户端明确允许服务器使用 RPK并且服务器同样允许发送 RPK 而非 X.509 证书链时才会出现此问题。通过将验证模式设置为 SSL_VERIFY_PEER, 受影响的客户端是那些在服务器的 RPK 无法匹配预期公钥之一时依赖于握手失败的客户端。启用了服务器端原始公钥的客户端仍可通过调用 SSL_get_verify_result() 发现原始公钥验证失败、会发现原始公钥验证失败且采取适当操作不受影响。OpenSSL 中 RPK 支持的初始实现引入此问题 3.2。 3.4、 3.3、 3.2、 3.1 和 3.0 中的 FIPS 模块不受此问题的影响。 (CVE-2024-12797)

  - Apache Commons IO 中不受控制的资源消耗漏洞。org.apache.commons.io.input.XmlStreamReader 类可能在处理恶意特制输入时过度消耗 CPU 资源。此问题会影响 Apache Commons IO 2.0 至 2.14.0。建议用户升级到修复了此问题的 2.14.0 或更高版本。(CVE-2024-47554)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程主机上安装的 AOS 版本低于 6.10.1.14。因此如公告 NXSA-AOS-6.10.1.14 所述受到多个漏洞的影响。

  - 在某些情况下BIND 在接受来自答案的记录时过于宽松允许攻击者将伪造的数据注入缓存。此问题会影响 BIND 9 版本 9.11.0 至 9.16.50、 9.18.0 至 9.18.39、 9.20.0 至 9.20.13、 9.21.0 至 9.21.12、9.11.3-S1 至 9.16.50-S1、9.18.11-S1 至 9.18。 39-S1 以及 9.20.9-S1 至 9.20.13-S1。 (CVE-2025-40778)

  - Apache CXF 将基于大型流的消息存储为本地文件系统中的临时文件。已引入缺陷，这意味着整个临时文件被读入内存，然后记录。攻击者可能会利用此问题，通过造成内存不足异常来造成拒绝服务攻击。
    此外，可以将 CXF 配置为加密临时文件，以防止敏感凭据在本地文件系统上缓存未加密，但是此缺陷意味着缓存文件会以未加密的方式写出到日志中。建议用户升级到修复了此问题的版本 3.5.11、3.6.6 、4.0.7 或 4.1.1。(CVE-2025-48795)

  - 2.7.2 之前的 Expat 中的 libexpat 允许攻击者通过已提交供解析的小文档触发大量动态内存分配。(CVE-2025-59375)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程主机上安装的 AOS 版本低于 7.0.1.13。因此如公告 NXSA-AOS-7.0.1.13 所述受到多个漏洞的影响。

  - 在某些情况下BIND 在接受来自答案的记录时过于宽松允许攻击者将伪造的数据注入缓存。此问题会影响 BIND 9 版本 9.11.0 至 9.16.50、 9.18.0 至 9.18.39、 9.20.0 至 9.20.13、 9.21.0 至 9.21.12、9.11.3-S1 至 9.16.50-S1、9.18.11-S1 至 9.18。 39-S1 以及 9.20.9-S1 至 9.20.13-S1。 (CVE-2025-40778)

  - Spring Framework 注释检测机制可能无法在参数化超类型具有无限制泛型的类型层次结构内，正确解析方法上的批注。如果此类注释用于授权决策，这可能会造成问题。使用 Spring Security 的 @EnableMethodSecurity 功能的应用程序可能会受到此影响。如果不使用 @EnableMethodSecurity，或者不对泛型超类或泛型接口中的方法使用安全批注，则不会受此问题的影响。此 CVE 与 CVE-2025-41248 https://spring.io/security/cve-2025-41248 一并发布。 (CVE-2025-41249)

  - Apache CXF 将基于大型流的消息存储为本地文件系统中的临时文件。已引入缺陷，这意味着整个临时文件被读入内存，然后记录。攻击者可能会利用此问题，通过造成内存不足异常来造成拒绝服务攻击。
    此外，可以将 CXF 配置为加密临时文件，以防止敏感凭据在本地文件系统上缓存未加密，但是此缺陷意味着缓存文件会以未加密的方式写出到日志中。建议用户升级到修复了此问题的版本 3.5.11、3.6.6 、4.0.7 或 4.1.1。(CVE-2025-48795)

  - 在不合规的 Servlet 容器上部署 Spring Framework MVC 应用程序时，该应用程序容易受到路径遍历漏洞影响。当满足以下所有条件时，应用程序可能会受到攻击：* 应用程序部署为 WAR 或带有嵌入式 Servlet 容器 * Servlet 容器不会拒绝可疑序列 https://jakarta.ee/specifications/servlet/6.1/jakarta-servlet-spec-6.1.html#uri-path-canonicalization * 应用程序提供静态资源 https://docs.spring.io/spring-framework/reference/web/webmvc/mvc-config/static-resources.html#page-titlewith Spring 资源处理 我们有我们已验证只要未在配置中禁用默认安全功能，Apache Tomcat 或 Eclipse Jetty 上部署的应用程序就不会容易受到攻击。
    我们无法检查针对所有 Servlet 容器和配置变体的漏洞利用情况，因此强烈建议您升级应用程序。(CVE-2025-41242)

  - 2.7.2 之前的 Expat 中的 libexpat 允许攻击者通过已提交供解析的小文档触发大量动态内存分配。(CVE-2025-59375)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程主机上安装的 Apache CXF 版本为 3.5.10、3.6.5、4.0.6 或 4.1.0。因此，其受到拒绝服务漏洞的影响：

  - Apache CXF 将基于大型流的消息存储为本地文件系统中的临时文件。已引入缺陷，这意味着整个临时文件被读入内存，然后记录。攻击者可能会利用此问题，通过造成内存不足异常来造成拒绝服务攻击。此外，可以将 CXF 配置为加密临时文件，以防止敏感凭据在本地文件系统上缓存未加密，但是此缺陷意味着缓存文件会以未加密的方式写出到日志中。建议用户升级到修复了此问题的版本 3.5.11、3.6.6 、4.0.7 或 4.1.1。(CVE-2025-48795)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程主机上安装的 AOS 版本低于 7.3.1.2。因此如公告 NXSA-AOS-7.3.1.2 所述受到多个漏洞的影响。

  - 在 GnuTLS 软件的 certtool 实用工具内的模板解析逻辑中发现一个堆缓冲区溢出差一缺陷。当从模板文件中读取某些设置时其允许攻击者造成越界 (OOB) 空指针写入进而导致内存损坏和拒绝服务 (DoS)从而可能使系统崩溃。 (CVE-2025-32990)

  - Apache CXF 将基于大型流的消息存储为本地文件系统中的临时文件。已引入缺陷，这意味着整个临时文件被读入内存，然后记录。攻击者可能会利用此问题，通过造成内存不足异常来造成拒绝服务攻击。
    此外，可以将 CXF 配置为加密临时文件，以防止敏感凭据在本地文件系统上缓存未加密，但是此缺陷意味着缓存文件会以未加密的方式写出到日志中。建议用户升级到修复了此问题的版本 3.5.11、3.6.6 、4.0.7 或 4.1.1。(CVE-2025-48795)

  - Vim 是一个开源命令行文本编辑器。低于版本 9.1.1552时Vim 的 tar.vim 插件中的路径遍历问题可允许在打开特别构建的 tar 存档时覆盖任意文件。
    影响低危因为此漏洞利用需要用户直接交互。但是取决于编辑存档的进程的权限若成功利用此漏洞则可能导致覆盖敏感文件或将可执行代码放置在特权位置。受害者必须使用将泄露文件名和文件内容的 Vim 编辑此类文件仔细的用户可能会怀疑正在发生什么奇怪的事情。
    成功利用此漏洞可导致在底层操作系统中执行任意命令。 9.1.1552 版中包含针对 漏洞的修补程序。 (CVE-2025-53905)

  - Vim 是一个开源命令行文本编辑器。低于版本 9.1.1551时Vim 的 zip.vim 插件中的路径遍历问题可允许在打开特别构建的 zip 存档时覆盖任意文件。
    影响低危因为此漏洞利用需要用户直接交互。但是取决于编辑存档的进程的权限若成功利用此漏洞则可能导致覆盖敏感文件或将可执行代码放置在特权位置。受害者必须使用将泄露文件名和文件内容的 Vim 编辑此类文件仔细的用户可能会怀疑正在发生什么奇怪的事情。
    成功利用此漏洞可导致在底层操作系统中执行任意命令。 9.1.1551 版中包含针对 漏洞的修补程序。 (CVE-2025-53906)

  - 启用 VerifyHostKeyDNS 选项时，在 OpenSSH 中发现漏洞。恶意计算机可通过冒充合法服务器执行中间机攻击。发生此问题的原因是 OpenSSH 在验证主机密钥时，会在特定情况下错误处理错误代码。要使攻击成功，攻击者需要先耗尽客户端的内存资源，这使得此攻击的复杂性变高。(CVE-2025-26465)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

如 2025 年 10 月 CPU 公告所述远程主机上安装的 7.6.0.0.0、 和 8.2.0.0.0 版本 Oracle Business Intelligence Publisher 受到多个漏洞的影响。

  - Oracle Analytics 的 Oracle BI Publisher 产品中的漏洞组件Web Service API (Apache CXF)。支持的版本中受影响的是 7.6.0.0.0 和 8.2.0.0.0。难以利用的漏洞允许具有网络访问权限的未经身份验证的攻击者通过 HTTP 危害 Oracle BI Publisher。成功攻击此漏洞可导致在未经授权的情况下更新、插入或删除某些 Oracle BI Publisher 可访问数据的访问权限以及对 Oracle BI Publisher 可访问数据子集进行未经授权的读取访问以及在未经授权的情况下造成部分拒绝服务部分Oracle BI Publisher 的 DOS。 (CVE-2025-48795)

  - Oracle Analytics 的 Oracle BI Publisher 产品中的漏洞组件Web 服务 API。支持的版本中受影响的是 7.6.0.0.0 和 8.2.0.0.0。可轻松利用的漏洞允许低权限攻击者通过 HTTP 进行网络访问，从而破坏 Oracle BI Publisher。成功利用此漏洞进行攻击可导致在未经授权的情况下访问关键数据或完整访问所有 Oracle BI Publisher 可访问数据。(CVE-2025-61754)

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
294995	Oracle Primavera P6 Enterprise Project Portfolio Management2026 年 1 月 CPU	Nessus	CGI abuses	2026/1/22	2026/1/22	medium
305049	Nutanix AOS 多个漏洞 (NXSA-AOS-7.5.1.1)	Nessus	Misc.	2026/4/6	2026/4/6	medium
271382	Oracle Business Intelligence Enterprise EditionOAS 8.22025 年 10 月 CPU	Nessus	Misc.	2025/10/24	2026/2/24	high
271383	Oracle Business Intelligence Enterprise EditionOAS 7.62025 年 10 月 CPU	Nessus	Misc.	2025/10/24	2026/2/24	high
299019	Nutanix AOS多种漏洞 (NXSA-AOS-6.10.1.14)	Nessus	Misc.	2026/2/13	2026/3/10	high
299020	Nutanix AOS 多个漏洞 (NXSA-AOS-7.0.1.13)	Nessus	Misc.	2026/2/13	2026/3/10	high
242260	Apache CXF 3.5.10 / 3.6.5 / 4.0.6 / 4.1.0 DoS (CVE-2025-48795)	Nessus	Misc.	2025/7/17	2026/1/21	medium
277073	Nutanix AOS 多个漏洞 (NXSA-AOS-7.3.1.2)	Nessus	Misc.	2025/12/2	2026/3/10	high
276657	Oracle Business Intelligence Publisher (OAS)2025 年 10 月 CPU	Nessus	Misc.	2025/11/24	2026/3/6	medium

检测

插件搜索

medium

medium

high

high

high

high

medium

high

medium