There are packages installed that are affected by a vulnerability referenced in the following CVE:

  - To allow builds of Python to be run from an in-tree layout (rather than an installed file layout), the
    VPATH variable is defined at build time and used to locate certain landmarks - specifically,
    Modules/setup.local. When this landmark is found relative to VPATH relative to the executable, Python
    assumes it is running in a source tree and generates a different default sys.path. This code remains in
    release builds, so that release-ready builds can be built in-tree. On Windows, since builds are written to
    'PCbuild/', the value of VPATH is set to '..\..', which results in a landmark of
    '..\..\Modules\setup.local'. This path is outside the install directory of Python, and may have different
    permissions, potentially allowing a low-privilege user to create the landmark and an alternative `Lib`
    folder that will be discovered by an otherwise restricted install. Such a setup occurs with the legacy
    default install location for all users (in the now superseded EXE installer), due to how Windows allows
    all users to create folders in the root directory of their OS drive. Our recommended mitigation on Windows
    is to migrate away from the legacy installer and use the new [Python install
    manager](https://www.python.org/downloads/latest/pymanager/) to install for the current user. Installs
    where the directory two levels above the Python installation directory have equivalent permissions are
    unaffected (in general, a per-user install cannot be modified at all by other users, removing any
    escalation of privilege risk, and could be directly modified by a privileged user, making the potential
    tampering irrelevant). Alternative mitigations might include preemptively creating and restricting access
    to a `Modules` directory. Be aware that only 3.13 and 3.14 will receive updated legacy installers -
    earlier fixes are only provided as sources. Platforms other than Windows allow VPATH to be overridden, but
    as they don't usually use a separated directory in the build for binaries, are unlikely to have a landmark
    reference outside of the install directory. The landmark detection involving VPATH is a fallback for when
    a more specific landmark - .\pybuilddir.txt - is absent, and was included for compatibility. Future
    releases of Python will no longer include the fallback, and so builds will need to generate or preserve
    the pybuilddir.txt file in order to work in-tree. This landmark file has been generated on Windows since
    3.11, and on other platforms for longer. (CVE-2026-12003)

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且廠商未提供可用的修補程式。

  - 為了允許從樹狀結構內配置 （而不是已安裝的檔案配置） 執行 Python 組建，會在組建時定義 VPATH 變數，並用來尋找某些地標 - 特別是 Modules/setup.local。當相對於可執行檔的 VPATH 找到此地標時，Python 會假設它正在原始程式碼樹狀結構中執行，並產生不同的預設 sys.path。此程式碼會保留在發行組建中，因此可以在樹狀結構中建置發行就緒組建。在 Windows 上，由於組建會寫入「PCbuild/」，因此 VPATH 的值會設定為「.。\..'，這導致了「..\..\Modules\setup.local'。此路徑位於 Python 的安裝目錄之外，並且可能具有不同的權限，可能允許低權限使用者建立地標和替代的「Lib」資料夾，該資料夾將被其他受限制的安裝發現。由於 Windows 允許所有使用者在其作業系統磁碟機的根目錄中建立資料夾，因此會使用所有使用者的舊版預設安裝位置 （在現已取代的 EXE 安裝程式中） 進行此類設定。我們建議在 Windows 上緩解措施是從舊版安裝程式移轉，並使用新的 [Python 安裝管理員]（https://www.python.org/downloads/latest/pymanager/） 為目前使用者安裝。比 Python 安裝目錄高兩層的目錄具有同等權限的安裝不會受到影響 （一般而言，其他使用者完全無法修改每個使用者的安裝，這消除了任何權限提升的風險，而且可以由特權使用者直接修改，因此潛在的竄改無關緊要）。替代緩解措施可能包括先發制人地建立和限制對「模組」目錄的存取。請注意，只有 3.13 並將 3.14 收到更新的舊版安裝程式 - 舊版修正僅作為來源提供。Windows 以外的平臺允許覆寫 VPATH，但由於它們通常不會在二進位檔的組建中使用單獨的目錄，因此不太可能在安裝目錄之外具有地標參考。涉及 VPATH 的地標偵測是當更具體的地標 （.\pybuilddir.txt） 不存在時的後援，並且是為了相容性而包含的。Python 的未來版本將不再包含後援，因此構建將需要生成或保留pybuilddir.txt文件才能在樹狀結構中工作。此具有里程碑意義的檔案已在 Windows 3.11上產生，並且在其他平台上產生的時間更長。（CVE-2026-12003）

請注意，Nessus 的判定取決於廠商所報告的套件是否存在。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - 为了允许从树内布局（而不是安装的文件布局）运行 Python 版本，在构建时定义了 VPATH 变量并用于定位某些地标 - 具体而言，是 Modules/setup.local。当相对于可执行文件的 VPATH 找到此地标时，Python 会假定其正在源树中运行，并生成不同的默认 sys.path。此代码保留在发布版本中，因此可以在树中构建发布就绪版本。在 Windows 中，由于版本被写入“PCbuild/”，VPATH 的值被设置为“..\..“，从而产生标志性标记”..\..\Modules\setup.local'。此路径位于 Python 安装目录外部，并且可能具有不同的权限，从而可能允许低权限用户创建地标和将被其他受限制的安装发现的备用“Lib”文件夹。由于 Windows 允许所有用户在其操作系统驱动器的根目录中创建文件夹，所有用户的旧默认安装位置（在现已被取代的 EXE 安装程序中）都会发生此类设置。我们建议的 Windows 缓解措施是从旧版安装程序迁移，并使用新的 [Python install manager]（https://www.python.org/downloads/latest/pymanager/） 为当前用户安装。比 Python 安装目录高两级的目录具有同等权限的安装不受影响（一般来说，其他用户完全不能修改按用户安装，消除了权限升级风险，而且可以被特权用户直接修改，因此潜在的篡改无关紧要）。替代缓解措施可能包括抢先创建和限制对“Modules”目录的访问。请注意，仅3.133.14会收到更新后的旧安装程序 - 早期补丁仅作为来源提供。Windows 以外的平台允许重写 VPATH，但由于其通常不会在针对二进制文件的版本中使用单独的目录，因此不太可能在安装目录外部具有标志性引用。涉及 VPATH 的地标检测是缺少更具体地标 （.\pybuilddir.txt） 时的回退，并且为了兼容性而将其包含在内。Python 的未来版本将不再包含回退，因此版本将需要生成或保留pybuilddir.txt文件才能在树中工作。此具有里程碑意义的文件已在 Windows 上 3.11生成，并且在其他平台上生成时间更长。（CVE-2026-12003）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

AlmaLinux 9.2 主机上存在安装的程序包，该程序包受到 TuxCare ALMALINUX9.2：CLSA-2026：1790155146公告中提及的多个漏洞的影响。

  - 为了允许从树内布局（而不是安装的文件布局）运行 Python 版本，在构建时定义了 VPATH 变量并用于定位某些地标 - 具体而言，是 Modules/setup.local。当相对于可执行文件的 VPATH 找到此地标时，Python 会假定其正在源树中运行，并生成不同的默认 sys.path。此代码保留在发布版本中，因此可以在树中构建发布就绪版本。在 Windows 中，由于版本被写入“PCbuild/”，VPATH 的值被设置为“..\..“，从而产生标志性标记”..\..\Modules\setup.local'。此路径位于 Python 安装目录外部，并且可能具有不同的权限，从而可能允许低权限用户创建地标和将被其他受限制的安装发现的备用“Lib”文件夹。由于 Windows 允许所有用户在其操作系统驱动器的根目录中创建文件夹，所有用户的旧默认安装位置（在现已被取代的 EXE 安装程序中）都会发生此类设置。我们建议的 Windows 缓解措施是从旧版安装程序迁移，并使用新的 [Python install manager]（https://www.python.org/downloads/latest/pymanager/） 为当前用户安装。比 Python 安装目录高两级的目录具有同等权限的安装不受影响（一般来说，其他用户完全不能修改按用户安装，消除了权限升级风险，而且可以被特权用户直接修改，因此潜在的篡改无关紧要）。替代缓解措施可能包括抢先创建和限制对“Modules”目录的访问。请注意，仅3.133.14会收到更新后的旧安装程序 - 早期补丁仅作为来源提供。Windows 以外的平台允许重写 VPATH，但由于其通常不会在针对二进制文件的版本中使用单独的目录，因此不太可能在安装目录外部具有标志性引用。涉及 VPATH 的地标检测是缺少更具体地标 （.\pybuilddir.txt） 时的回退，并且为了兼容性而将其包含在内。Python 的未来版本将不再包含回退，因此版本将需要生成或保留pybuilddir.txt文件才能在树中工作。此具有里程碑意义的文件已在 Windows 上 3.11生成，并且在其他平台上生成时间更长。（CVE-2026-12003）

  - stringprep 模块未正确处理 RFC 3454 表 B.2 或 B.3 中的字符：使用最新的 Unicode 代码点属性，而不是指定的 Unicode 3.2.0。此行为会在利用 IDNA 2003（IDNA 编解码器）和 stringprep 模块的 in_table_b2（） 函数处理域名时造成不匹配。这仅影响包含之前未注册的字符或其 Unicode 属性（例如自 Unicode 3.2.0起更新的大小写折叠行为）的域名。
    (CVE-2026-17084)

  - tarfile 模块的 tar 和数据提取筛选器会在目的地外部为名称离开目的地并返回目的地的成员创建目录，例如 ../恶/../dest/sub/file。遏制检查使用解析的路径，但中间目录是根据提供的名称创建的。只会在目标外部创建空目录。成员内容仍在其内部提取。为了返回目的地，成员的名称必须包含目的地目录自己的最终组件，所以提取到安全的随机化目录不会受到影响。这只影响 POSIX 平台。在 Windows 中， ..组件在路径到达文件系统之前已折叠，因此永远不会创建目的地以外的目录。（CVE-2026-19672）

  - tarfile 在不支持链接的系统上提取链接时，会回退到从存档中提取成员。在这种情况下，过滤器函数运行两次：一次针对提取的成员，另一次将名称设置为链接的位置。对于其中一个调用，返回值被忽略。相反，如果任一调用返回 None，则应跳过该成员。（CVE-2026-87910）

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

AlmaLinux 9.2 主機已安裝的套件會受到 TuxCare ALMALINUX9.2：CLSA-2026：1790155146 公告中提及的多個弱點影響。

  - 為了允許從樹狀結構內配置 （而不是已安裝的檔案配置） 執行 Python 組建，會在組建時定義 VPATH 變數，並用來尋找某些地標 - 特別是 Modules/setup.local。當相對於可執行檔的 VPATH 找到此地標時，Python 會假設它正在原始程式碼樹狀結構中執行，並產生不同的預設 sys.path。此程式碼會保留在發行組建中，因此可以在樹狀結構中建置發行就緒組建。在 Windows 上，由於組建會寫入「PCbuild/」，因此 VPATH 的值會設定為「.。\..'，這導致了「..\..\Modules\setup.local'。此路徑位於 Python 的安裝目錄之外，並且可能具有不同的權限，可能允許低權限使用者建立地標和替代的「Lib」資料夾，該資料夾將被其他受限制的安裝發現。由於 Windows 允許所有使用者在其作業系統磁碟機的根目錄中建立資料夾，因此會使用所有使用者的舊版預設安裝位置 （在現已取代的 EXE 安裝程式中） 進行此類設定。我們建議在 Windows 上緩解措施是從舊版安裝程式移轉，並使用新的 [Python 安裝管理員]（https://www.python.org/downloads/latest/pymanager/） 為目前使用者安裝。比 Python 安裝目錄高兩層的目錄具有同等權限的安裝不會受到影響 （一般而言，其他使用者完全無法修改每個使用者的安裝，這消除了任何權限提升的風險，而且可以由特權使用者直接修改，因此潛在的竄改無關緊要）。替代緩解措施可能包括先發制人地建立和限制對「模組」目錄的存取。請注意，只有 3.13 並將 3.14 收到更新的舊版安裝程式 - 舊版修正僅作為來源提供。Windows 以外的平臺允許覆寫 VPATH，但由於它們通常不會在二進位檔的組建中使用單獨的目錄，因此不太可能在安裝目錄之外具有地標參考。涉及 VPATH 的地標偵測是當更具體的地標 （.\pybuilddir.txt） 不存在時的後援，並且是為了相容性而包含的。Python 的未來版本將不再包含後援，因此構建將需要生成或保留pybuilddir.txt文件才能在樹狀結構中工作。此具有里程碑意義的檔案已在 Windows 3.11上產生，並且在其他平台上產生的時間更長。（CVE-2026-12003）

  - stringprep 模組未正確處理 RFC 3454 表格 B.2 或 B.3 中的字元：使用最新的 Unicode 程式碼點屬性，而不是指定的 Unicode 3.2.0。使用 IDNA 2003 （idna 編解碼器） 和 stringprep 模組的 in_table_b2（） 函式處理網域名稱時，此行為會導致不相符。這只會影響包含先前未註冊或具有 Unicode 屬性的字元的網域名稱，例如自 Unicode 3.2.0以來更新的大小寫折疊行為。
    (CVE-2026-17084)

  - tarfile 模組的 tar 和資料擷取會篩選在目的地之外建立的目錄，以取得名稱離開目的地並返回目的地的成員，例如 ../邪惡/../dest/sub/file 中。包含檢查使用已解析的路徑，但中繼目錄是根據指定的名稱建立的。只會在目的地外部建立空白目錄。成員內容仍會在其中擷取。若要返回目的地，成員的名稱必須包含目的地目錄自己的最終元件，因此擷取到安全的隨機目錄不會受到影響。這只會影響 POSIX 平台。在 Windows 上， ..元件在路徑到達檔案系統之前會摺疊，因此永遠不會建立目的地之外的目錄。（CVE-2026-19672）

  - 當 tarfile 在不支援連結的系統上擷取連結時，它會回復為從封存中擷取成員。在此情況下，篩選函式會執行兩次：一次針對擷取的成員，另一次將名稱設定為連結的位置。針對其中一個呼叫，傳回值會被忽略。相反地，如果任一呼叫傳回 None，則應該略過成員。（CVE-2026-87910）

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - Python のビルドを(インストール済みファイルレイアウトではなく)ツリー内レイアウトから実行できるようにするために、VPATH 変数をビルド時に定義し、特定のランドマーク(具体的には Modules/setup.local)を検索するために使用されます。このランドマークが実行可能ファイル相対的な VPATH に対して見つかった場合、Python はそれがソースツリーで実行されていると想定し、異なるデフォルトの sys.path を生成します。このコードはリリースビルドに残るため、リリース対応のビルドをツリー内で構築できます。Windows では、ビルドが「PCbuild/」に書き込まれるため、VPATH の値は「..\..」というランドマークになります。\..\Modules\setup.local」です。このパスは Python のインストールディレクトリの外部にあり、異なる権限を持つ場合があります。これにより、権限が低いユーザーがランドマークおよび代替の「Lib」フォルダを作成する可能性があります。他のパスは、制限されたインストールによって検出されます。このような設定は、WindowsですべてのユーザーがOSドライブのルートディレクトリにフォルダーを作成できるため、すべてのユーザー(現在は置き換えられたEXEインストーラー)の従来のデフォルトのインストール場所で発生します。Windowsに関して推奨される軽減策は、レガシーインストーラーから移行し、新しい[Pythonインストールマネージャー](https://www.python.org/downloads/latest/pymanager/)を使用して現在のユーザーにインストールすることです。Python インストールディレクトリの 2 レベル上のディレクトリに同等の権限がある場合、インストールは影響を受けません(一般に、ユーザーごとのインストールは、他のユーザーによりまったく変更できないため、権限の昇格のリスクが排除されます。また、特権ユーザーによって直接変更されることがあるため、改ざんの可能性は無関係になります)。代替的な緩和策には、「Modules」ディレクトリへのアクセスを先制的に作成および制限することが含まれる場合があります。更新されたレガシーインストーラーを受け取るのは、 3.13 と 3.14 のみです。以前の修正はソースとしてのみ提供されます。Windows 以外のプラットフォームでは、VPATH をオーバーライドできますが、バイナリのビルドで通常は別個のディレクトリを使用しないため、インストールディレクトリの外にランドマーク参照がある可能性はほとんどありません。VPATH に関連するランドマーク検出は、より具体的なランドマーク(.\pybuilddir.txt)がない場合のフォールバックであり、互換性のために含まれています。Pythonの今後のリリースにはフォールバックが含まれないため、ビルドではツリー内で動作するためにpybuilddir.txtファイルを生成または保存する必要があります。このランドマークファイルは、Windows 3.11 から生成されており、他のプラットフォームでも以前から生成されています。(CVE-2026-12003)

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

AlmaLinux 9.2 ホストには、TuxCare ALMALINUX9.2:CLSA-2026:1790155146アドバイザリに記載されている複数の脆弱性の影響を受けるパッケージがインストールされています。

  - Python のビルドを(インストール済みファイルレイアウトではなく)ツリー内レイアウトから実行できるようにするために、VPATH 変数をビルド時に定義し、特定のランドマーク(具体的には Modules/setup.local)を検索するために使用されます。このランドマークが実行可能ファイル相対的な VPATH に対して見つかった場合、Python はそれがソースツリーで実行されていると想定し、異なるデフォルトの sys.path を生成します。このコードはリリースビルドに残るため、リリース対応のビルドをツリー内で構築できます。Windows では、ビルドが「PCbuild/」に書き込まれるため、VPATH の値は「..\..」というランドマークになります。\..\Modules\setup.local」です。このパスは Python のインストールディレクトリの外部にあり、異なる権限を持つ場合があります。これにより、権限が低いユーザーがランドマークおよび代替の「Lib」フォルダを作成する可能性があります。他のパスは、制限されたインストールによって検出されます。このような設定は、WindowsですべてのユーザーがOSドライブのルートディレクトリにフォルダーを作成できるため、すべてのユーザー(現在は置き換えられたEXEインストーラー)の従来のデフォルトのインストール場所で発生します。Windowsに関して推奨される軽減策は、レガシーインストーラーから移行し、新しい[Pythonインストールマネージャー](https://www.python.org/downloads/latest/pymanager/)を使用して現在のユーザーにインストールすることです。Python インストールディレクトリの 2 レベル上のディレクトリに同等の権限がある場合、インストールは影響を受けません(一般に、ユーザーごとのインストールは、他のユーザーによりまったく変更できないため、権限の昇格のリスクが排除されます。また、特権ユーザーによって直接変更されることがあるため、改ざんの可能性は無関係になります)。代替的な緩和策には、「Modules」ディレクトリへのアクセスを先制的に作成および制限することが含まれる場合があります。更新されたレガシーインストーラーを受け取るのは、 3.13 と 3.14 のみです。以前の修正はソースとしてのみ提供されます。Windows 以外のプラットフォームでは、VPATH をオーバーライドできますが、バイナリのビルドで通常は別個のディレクトリを使用しないため、インストールディレクトリの外にランドマーク参照がある可能性はほとんどありません。VPATH に関連するランドマーク検出は、より具体的なランドマーク(.\pybuilddir.txt)がない場合のフォールバックであり、互換性のために含まれています。Pythonの今後のリリースにはフォールバックが含まれないため、ビルドではツリー内で動作するためにpybuilddir.txtファイルを生成または保存する必要があります。このランドマークファイルは、Windows 3.11 から生成されており、他のプラットフォームでも以前から生成されています。(CVE-2026-12003)

  - stringprep モジュールは、RFC 3454 のテーブル B.2 または B.3 からの文字を適切に処理しませんでした。指定された Unicode 3.2.0の代わりに、最新の Unicode コードポイント属性が使用されました。この動作は、IDNA 2003(idna コーデック)と stringprep モジュールの in_table_b2() 関数を使用しているドメイン名を処理するときに、不一致を引き起こす可能性があります。この影響を受けるのは、以前に登録されていなかった文字や、Unicode 3.2.0以降に大文字小文字折りたたみ動作などの Unicode 属性が更新された文字を含むドメイン名のみです。
    (CVE-2026-17084)

  - tarfile モジュールの tar フィルターとデータ抽出フィルターは、名前が宛先を離れて宛先に戻るメンバーに対して宛先外にディレクトリを作成しました (例:/evil/../dest/sub/file 格納チェックで解決済みパスが使用されましたが、中間ディレクトリは与えられた名前から作成されました。空のディレクトリのみが宛先の外部に作成されます。メンバーのコンテンツは、依然としてその中で抽出されます。宛先に戻るには、安全なランダムなディレクトリへの抽出が影響を受けないように、宛先ディレクトリ自体の最後のコンポーネントがメンバー名に含まれている必要があります。この影響を受けるのはPOSIXプラットフォームのみです。Windowsでは、..コンポーネントはパスがファイルシステムに到達する前に折りたたまれるため、コピー先の外側のディレクトリは作成されません。(CVE-2026-19672)

  - tarfile がリンクをサポートしていないシステム上のリンクを抽出するとき、アーカイブからメンバーを抽出するようフォールバックします。この場合、フィルター関数は 2 回実行されます。抽出されたメンバーに対して 1 回、リンクの場所に名前を設定して 1 回実行します。いずれかの呼び出しでは、戻り値が無視されました。代わりに、いずれかの呼び出しが None を返す場合は、メンバーをスキップする必要があります。(CVE-2026-87910)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

According to the versions of the python3 packages installed, the EulerOS installation on the remote host is affected by the following vulnerabilities :

    unicodedata.normalize() can take excessive CPU time when processing_x000D_     specially crafted Unicode input containing long runs of combining characters_x000D_     with alternating Canonical Combining Class values._x000D_     This affects all normalization forms.(CVE-2026-3276)

    tarfile.extractall() with the 'data' or 'tar' filter could be bypassed by a crafted archive where a     hardlink references a symlink stored at a deeper name than the hardlink itself. The extraction fallback     validated the symlink at its archived location but recreated it at the hardlink's shallower path, letting     a relative target the filter judged contained escape the destination directory. This allowed a malicious     tar archive to create a symlink pointing outside the destination, enabling out-of-destination file reads     or writes. This was an incomplete fix of CVE-2025-4330.(CVE-2026-11940)

    When calling base64.b64decode() or related functions the decoding process would stop after encountering     the first padded quad regardless of whether there was more information to be processed. This can lead to     data being accepted which may be processed differently by other implementations. Use 'validate=True' to     enable stricter processing of base64 data.(CVE-2026-3446)

    In the Tarfile.extract() function, the filter parameter is not passed properly when extracting hardlinks.
    An affected system that extracts content from untrusted tar files could end up writing files with an     unexpected uid/gid despite the user passing filter='data' to the extract() function.(CVE-2026-4360)

    The imaplib module, when passed a user-controlled command, can have additional commands injected using     newlines. Mitigation rejects commands containing control characters.(CVE-2025-15366)

    To allow builds of Python to be run from an in-tree layout (rather than_x000D_     an installed file layout), the VPATH variable is defined at build time_x000D_     and used to locate certain landmarks - specifically,_x000D_     Modules/setup.local. When this landmark is found relative to VPATH_x000D_     relative to the executable, Python assumes it is running in a source_x000D_     tree and generates a different default sys.path. This code remains in_x000D_     release builds, so that release-ready builds can be built in-tree._x000D_
    _x000D_     On Windows, since builds are written to 'PCbuild/', the value of_x000D_     VPATH is set to '..\..', which results in a landmark of_x000D_     '..\..\Modules\setup.local'. This path is outside the install directory_x000D_     of Python, and may have different permissions, potentially allowing a_x000D_     low-privilege user to create the landmark and an alternative `Lib`_x000D_     folder that will be discovered by an otherwise restricted install._x000D_
    _x000D_     Such a setup occurs with the legacy default install location for all_x000D_     users (in the now superseded EXE installer), due to how Windows allows_x000D_     all users to create folders in the root directory of their OS drive._x000D_
    _x000D_     Our recommended mitigation on Windows is to migrate away from the_x000D_     legacy installer and use the new [Python install_x000D_     manager](https://www.python.org/downloads/latest/pymanager/) to install_x000D_     for the current user. Installs where the directory two levels above the_x000D_     Python installation directory have equivalent permissions are unaffected_x000D_     (in general, a per-user install cannot be modified at all by other_x000D_     users, removing any escalation of privilege risk, and could be directly_x000D_     modified by a privileged user, making the potential tampering_x000D_     irrelevant). Alternative mitigations might include preemptively creating_x000D_     and restricting access to a `Modules` directory. Be aware that only 3.13_x000D_     and 3.14 will receive updated legacy installers - earlier fixes are only_x000D_     provided as sources._x000D_
    _x000D_     Platforms other than Windows allow VPATH to be overridden, but as they_x000D_     don't usually use a separated directory in the build for binaries, are_x000D_     unlikely to have a landmark reference outside of the install directory._x000D_
    _x000D_     The landmark detection involving VPATH is a fallback for when a more_x000D_     specific landmark - .\pybuilddir.txt - is absent, and was included for_x000D_     compatibility. Future releases of Python will no longer include the_x000D_     fallback, and so builds will need to generate or preserve the_x000D_     pybuilddir.txt file in order to work in-tree. This landmark file has_x000D_     been generated on Windows since 3.11, and on other platforms for longer.(CVE-2026-12003)

    `xml.parsers.expat` and `xml.etree.ElementTree` use insufficient entropy for Expat hash-flooding     protection, which allows a crafted XML document to trigger hash flooding.\r\n\r\nFully mitigating this     vulnerability requires both updating libexpat to 2.8.0 or later and applying this patch.(CVE-2026-7210)

    When using the 'configparser' module to write configuration files_x000D_     containing multi-line text values with carriage return characters (\r) the_x000D_     resulting file could be injected with unexpected keys and values if the_x000D_     attacker controls the written value.(CVE-2026-0864)

    When using the 'tarfile' module with a file opened in 'streaming mode' (mode='r|') the tarfile module did     not properly handle EOF, making archive parsing take exponentially longer.(CVE-2026-11972)

    The Oracle Solaris Third Party Bulletin announces patches for one or more security vulnerabilities     addressed in third party software that is included in Oracle Solaris distributions. Starting January 20,     2015, Third Party Bulletins are released on the same day when Oracle Critical Patch Updates are released.
    These bulletins will also be updated after their release between the quarterly Critical Patch Updates. In     addition, Third Party Bulletins may also be updated for vulnerability issues deemed too critical to wait     for the next monthly update.(CVE-2026-8328)

    The incremental HTML parser (html.parser.HTMLParser) allows for CPU_x000D_     denial-of-service through repeated unterminated markup declarations when_x000D_     processing uncontrolled data.(CVE-2026-15308)

Tenable has extracted the preceding description block directly from the EulerOS python3 security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

The Linux/Unix host has one or more packages installed that are impacted by a vulnerability without a vendor supplied patch available.

  - To allow builds of Python to be run from an in-tree layout (rather than an installed file layout), the     VPATH variable is defined at build time and used to locate certain landmarks - specifically,     Modules/setup.local. When this landmark is found relative to VPATH relative to the executable, Python     assumes it is running in a source tree and generates a different default sys.path. This code remains in     release builds, so that release-ready builds can be built in-tree. On Windows, since builds are written to     'PCbuild/', the value of VPATH is set to '..\..', which results in a landmark of     '..\..\Modules\setup.local'. This path is outside the install directory of Python, and may have different     permissions, potentially allowing a low-privilege user to create the landmark and an alternative `Lib`     folder that will be discovered by an otherwise restricted install. Such a setup occurs with the legacy     default install location for all users (in the now superseded EXE installer), due to how Windows allows     all users to create folders in the root directory of their OS drive. Our recommended mitigation on Windows     is to migrate away from the legacy installer and use the new [Python install     manager](https://www.python.org/downloads/latest/pymanager/) to install for the current user. Installs     where the directory two levels above the Python installation directory have equivalent permissions are     unaffected (in general, a per-user install cannot be modified at all by other users, removing any     escalation of privilege risk, and could be directly modified by a privileged user, making the potential     tampering irrelevant). Alternative mitigations might include preemptively creating and restricting access     to a `Modules` directory. Be aware that only 3.13 and 3.14 will receive updated legacy installers -     earlier fixes are only provided as sources. Platforms other than Windows allow VPATH to be overridden, but     as they don't usually use a separated directory in the build for binaries, are unlikely to have a landmark     reference outside of the install directory. The landmark detection involving VPATH is a fallback for when     a more specific landmark - .\pybuilddir.txt - is absent, and was included for compatibility. Future     releases of Python will no longer include the fallback, and so builds will need to generate or preserve     the pybuilddir.txt file in order to work in-tree. This landmark file has been generated on Windows since     3.11, and on other platforms for longer. (CVE-2026-12003)

Note that Nessus relies on the presence of the package as reported by the vendor.

The AlmaLinux 9.2 host has packages installed that are affected by multiple vulnerabilities as referenced in the TuxCare ALMALINUX9.2:CLSA-2026:1790155146 advisory.

  - To allow builds of Python to be run from an in-tree layout (rather than an installed file layout), the     VPATH variable is defined at build time and used to locate certain landmarks - specifically,     Modules/setup.local. When this landmark is found relative to VPATH relative to the executable, Python     assumes it is running in a source tree and generates a different default sys.path. This code remains in     release builds, so that release-ready builds can be built in-tree. On Windows, since builds are written to     'PCbuild/', the value of VPATH is set to '..\..', which results in a landmark of     '..\..\Modules\setup.local'. This path is outside the install directory of Python, and may have different     permissions, potentially allowing a low-privilege user to create the landmark and an alternative `Lib`     folder that will be discovered by an otherwise restricted install. Such a setup occurs with the legacy     default install location for all users (in the now superseded EXE installer), due to how Windows allows     all users to create folders in the root directory of their OS drive. Our recommended mitigation on Windows     is to migrate away from the legacy installer and use the new [Python install     manager](https://www.python.org/downloads/latest/pymanager/) to install for the current user. Installs     where the directory two levels above the Python installation directory have equivalent permissions are     unaffected (in general, a per-user install cannot be modified at all by other users, removing any     escalation of privilege risk, and could be directly modified by a privileged user, making the potential     tampering irrelevant). Alternative mitigations might include preemptively creating and restricting access     to a `Modules` directory. Be aware that only 3.13 and 3.14 will receive updated legacy installers -     earlier fixes are only provided as sources. Platforms other than Windows allow VPATH to be overridden, but     as they don't usually use a separated directory in the build for binaries, are unlikely to have a landmark     reference outside of the install directory. The landmark detection involving VPATH is a fallback for when     a more specific landmark - .\pybuilddir.txt - is absent, and was included for compatibility. Future     releases of Python will no longer include the fallback, and so builds will need to generate or preserve     the pybuilddir.txt file in order to work in-tree. This landmark file has been generated on Windows since     3.11, and on other platforms for longer. (CVE-2026-12003)

  - The stringprep module didn't process characters from RFC 3454 tables B.2 or B.3 correctly: the latest     Unicode codepoint attributes were used instead of the specified Unicode 3.2.0. This behavior would cause     mismatches when processing domain names using IDNA 2003 (the idna codec) and the in_table_b2() function     of the stringprep module. This only affects domain names containing characters that were not previously     registered or had their Unicode attributes such as case-folding behavior updated since Unicode 3.2.0.
    (CVE-2026-17084)

  - The tarfile module's tar and data extraction filters created directories outside the destination for     members whose name leaves the destination and returns to it, such as ../evil/../dest/sub/file. The     containment check used the resolved path, but intermediate directories were created from the name as     given. Only empty directories are created outside the destination. Member contents are still extracted     inside it. To return to the destination the member's name must contain the destination directory's own     final component, so extraction into a secure randomised directory is not affected. This affects POSIX     platforms only. On Windows, .. components are collapsed before the path reaches the filesystem, so the     directories outside the destination are never created. (CVE-2026-19672)

  - When tarfile extracts a link on a system that doesn't support links, it falls back to extracting a member     from the archive. In this case, the filter function is run twice: once for the extracted member, and once     with name set to the location of the link. For one of the calls, the return value was ignored. Instead,     the member should be skipped if either call returns None. (CVE-2026-87910)

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
463383	Echo: python3.13: security update to 3.13.5-2+e24	Tenable Self-Hosted Container Security	Echo Local Security Checks	2026/10/2	2026/10/2	medium
463383	Echo: python3.13: security update to 3.13.5-2+e24	Tenable Cloud Security	Echo Local Security Checks	2026/10/2	2026/10/2	medium
321379	Linux Distros 未修補弱點：CVE-2026-12003	Nessus	Misc.	2026/6/17	2026/9/2	medium
321379	Linux Distros 未修补的漏洞：CVE-2026-12003	Nessus	Misc.	2026/6/17	2026/9/2	medium
351910	AlmaLinux 9.2 [TuxCare] 安全更新：python3.11 / python3.11-debug / python3.11-devel / python3.11-idle / 等多个漏洞（ALMALINUX9.2：CLSA-2026：1790155146）	Nessus	Alma Linux Local Security Checks	2026/9/30	2026/9/30	medium
351910	AlmaLinux 9.2 [TuxCare] 安全性更新：python3.11 / python3.11-debug / python3.11-devel / python3.11-idle / etc 多個弱點（ALMALINUX9.2：CLSA-2026：1790155146）	Nessus	Alma Linux Local Security Checks	2026/9/30	2026/9/30	medium
321379	Linux Distros のパッチ未適用の脆弱性: CVE-2026-12003	Nessus	Misc.	2026/6/17	2026/9/2	medium
351910	AlmaLinux 9.2 [TuxCare] セキュリティ更新:python3.11/python3.11-debug/python3.11-devel/python3.11-idle/etcの複数の脆弱性(ALMALINUX9.2:CLSA-2026:1790155146)	Nessus	Alma Linux Local Security Checks	2026/9/30	2026/9/30	medium
364019	EulerOS 2.0 SP15 : python3 (EulerOS-SA-2026-4012)	Nessus	Huawei Local Security Checks	2026/10/8	2026/10/15	high
321379	Linux Distros Unpatched Vulnerability : CVE-2026-12003	Nessus	Misc.	2026/6/17	2026/9/2	medium
364010	EulerOS 2.0 SP15 : python3 (EulerOS-SA-2026-3946)	Nessus	Huawei Local Security Checks	2026/10/8	2026/10/15	high
351910	AlmaLinux 9.2 [TuxCare] Security Update: python3.11 / python3.11-debug / python3.11-devel / python3.11-idle / etc Multiple Vulnerabilities (ALMALINUX9.2:CLSA-2026:1790155146)	Nessus	Alma Linux Local Security Checks	2026/9/30	2026/9/30	medium

检测

插件搜索

medium

medium

medium

medium

medium

medium

medium

medium

high

medium

high

medium