There are packages installed that are affected by a vulnerability referenced in the following CVE:

  - Python Social Auth is a social authentication and registration mechanism. Prior to 6.2.0,
    OpenIdConnectAuth in social_core/backends/open_id_connect.py uses get_and_store_nonce to place the OpenID
    Connect nonce in a shared OpenIdConnectAssociation table, and get_nonce and validate_claims verify only
    that the nonce exists and has not expired rather than binding it to the browser session and OAuth state
    that initiated the login. An attacker who obtains a victim's unused authorization code can start a
    separate login to obtain valid state for the attacker's browser, submit the victim's code with that state,
    and pass nonce validation because the victim nonce is globally available. With DEFAULT_USE_PKCE disabled
    in the default OpenIdConnectAuth configuration, the attacker can be logged in as the victim. This issue is
    fixed in version 6.2.0. (CVE-2026-115910)

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且廠商未提供可用的修補程式。

  - Python Social Auth 是一種社交認證和註冊機制。在之前 6.2.0，social_core/backends/open_id_connect.py 中的 OpenIdConnectAuth 會使用 get_and_store_nonce 將 OpenID Connect nonce 放在共用的 OpenIdConnectAssociation 表格中，並且get_nonce和validate_claims僅驗證 nonce 是否存在且尚未過期，而不是將其繫結至啟動登入的瀏覽器工作階段和 OAuth 狀態。取得受害者未使用的授權碼的攻擊者可以啟動單獨的登入，以取得攻擊者瀏覽器的有效狀態，提交具有該狀態的受害者程式碼，並通過隨機數驗證，因為受害者隨機數是全域可用的。在預設的 OpenIdConnectAuth 設定中停用DEFAULT_USE_PKCE後，攻擊者可以以受害者身分登入。6.2.0 版已修正此問題。(CVE-2026-115910)

請注意，Nessus 的判定取決於廠商所報告的套件是否存在。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - Python 社交认证是一种社交认证和注册机制。在之前 6.2.0，social_core/backends/open_id_connect.py 中的 OpenIdConnectAuth 使用 get_and_store_nonce 将 OpenID Connect nonce 放置在共享的 OpenIdConnectAssociation 表中，并且get_nonce和validate_claims仅验证 nonce 是否存在且尚未过期，而不是将其绑定到发起登录的浏览器会话和 OAuth 状态。取得受害者未使用授权代码的攻击者可启动单独登录，以取得攻击者浏览器的有效状态，提交具有该状态的受害者代码，并通过随机数验证，这是因为受害者临时信息是全局可用的。在默认 OpenIdConnectAuth 配置中禁用DEFAULT_USE_PKCE后，攻击者可作为受害者登录。此问题已在 6.2.0 版本中修复。(CVE-2026-115910)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - Python Social Auth は、ソーシャル認証および登録メカニズムです。6.2.0より前は、social_core/backends/open_id_connect.pyのOpenIdConnectAuthはget_and_store_nonceを使用して共有OpenIdConnectAssociationテーブルにOpenID Connect nonceを配置し、ログインを開始したブラウザーセッションとOAuth状態にバインドするのではなく、ノンスが存在し、有効期限切れになっていないことのみをget_nonceとvalidate_claims検証します。被害者の未使用の認証コードを取得した攻撃者は、別のログインを開始して攻撃者のブラウザに有効な状態を取得し、その状態で被害者のコードを送信し、被害者のノンスがグローバルに利用可能であるため、ノンス検証に合格できます。デフォルトの OpenIdConnectAuth 構成でDEFAULT_USE_PKCEを無効にすると、攻撃者が被害者としてログインできます。この問題はバージョン 6.2.0 で修正されています。(CVE-2026-115910)

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

The Linux/Unix host has one or more packages installed that are impacted by a vulnerability without a vendor supplied patch available.

  - Python Social Auth is a social authentication and registration mechanism. Prior to 6.2.0,     OpenIdConnectAuth in social_core/backends/open_id_connect.py uses get_and_store_nonce to place the OpenID     Connect nonce in a shared OpenIdConnectAssociation table, and get_nonce and validate_claims verify only     that the nonce exists and has not expired rather than binding it to the browser session and OAuth state     that initiated the login. An attacker who obtains a victim's unused authorization code can start a     separate login to obtain valid state for the attacker's browser, submit the victim's code with that state,     and pass nonce validation because the victim nonce is globally available. With DEFAULT_USE_PKCE disabled     in the default OpenIdConnectAuth configuration, the attacker can be logged in as the victim. This issue is     fixed in version 6.2.0. (CVE-2026-115910)

Note that Nessus relies on the presence of the package as reported by the vendor.

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
477766	SCA: security update for social-auth-core (GHSA-h2r5-x5m7-3935)	Tenable Cloud Security	SCA Checks	2026/10/29	2026/10/29	medium
477766	SCA: security update for social-auth-core (GHSA-h2r5-x5m7-3935)	Tenable Self-Hosted Container Security	SCA Checks	2026/10/29	2026/10/29	medium
372218	Linux Distros 未修補弱點：CVE-2026-115910	Nessus	Misc.	2026/10/27	2026/10/28	medium
372218	Linux Distros 未修补的漏洞：CVE-2026-115910	Nessus	Misc.	2026/10/27	2026/10/28	medium
372218	Linux Distros のパッチ未適用の脆弱性: CVE-2026-115910	Nessus	Misc.	2026/10/27	2026/10/28	medium
372218	Linux Distros Unpatched Vulnerability : CVE-2026-115910	Nessus	Misc.	2026/10/27	2026/10/28	medium

检测

插件搜索

medium

medium

medium

medium

medium

medium