There are packages installed that are affected by a vulnerability referenced in the following CVE:

  - AIOHTTP is an asynchronous HTTP client/server framework for asyncio and Python. Prior to version 3.13.4,
    when following redirects to a different origin, aiohttp drops the Authorization header, but retains the
    Cookie and Proxy-Authorization headers. This issue has been patched in version 3.13.4. (CVE-2026-34518)

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且廠商未提供可用的修補程式。

  - AIOHTTP 是適用於 asyncio 和 Python 的非同步 HTTP 用戶端/伺服器架構。在 3.13.4版之前當跟隨重新導向至不同來源時aiohttp 會放置授權標頭但會保留 Cookie 和 Proxy-Authorization 標頭。此問題已在 3.13.4 版中修正。(CVE-2026-34518)

請注意，Nessus 依賴供應商報告的套件存在。

遠端 Debian 11 主機已安裝的套件會受到 dla-4613 公告中提及的多個弱點影響。

    ------------------------------------------------------------------------- Debian LTS 公告 DLA-4613-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Daniel Leidert 2026 年 6 月 1 日 https://wiki.debian.org/LTS-------------------------------------------------------------------------

    套件：python-aiohttp 版本：3.7.4-1+deb11u2 CVE 識別碼： CVE-2025-53643 CVE-2025-69224 CVE-2025-69225 CVE-2025-69226 CVE-2025-69227 CVE-2025-69228 CVE-2025-69229 CVE-2026-22815 CVE-2026-34513 CVE-2026-34514 CVE-2026-34516 CVE-2026-34517 CVE-2026-34518 CVE-2026-34519 CVE-2026-34520 CVE-2026-34525


    在 aiohttp 中發現多個漏洞，aiohttp 是一個用於 asyncio 和 Python 的非同步 HTTP 客戶端/伺服器框架。


    CVE-2025-53643

       由於未剖析 HTTP 要求的預告片區段而導致的請求走私弱點。

    CVE-2025-69224

       HTTP 剖析器中存在非 ASCII 字元時可能發生要求走私攻擊。

    CVE-2025-69225

       剖析器邏輯，允許在 Range 標頭中出現非 ASCII 小數。

    CVE-2025-69226

       路徑遊走弱點可讓攻擊者確定路徑元件的存在。

    CVE-2025-69227

       處理 POST 內文時，當繞過斷言語句時，可能會發生無限迴圈，從而導致可能的 DoS 攻擊。

    CVE-2025-69228

       可能的 DoS 攻擊，可使用 Request.post（） 耗盡記憶體，從而凍結伺服器。

    CVE-2025-69229

       處理區塊訊息，在接收大量區塊時，可能會導致過度封鎖 CPU 使用率。

    CVE-2026-22815

       由於標頭和尾部處理限制不足，導致記憶體使用量無上限。

    CVE-2026-34513

       過多的記憶體使用可能會因為無限的 DNS 快取而導致 DoS。

    CVE-2026-34514

       標頭插入。

    CVE-2026-34516

       具有過多多個部分標頭的回應所導致的潛在 DoS 弱點。

    CVE-2026-34517

       某些多部分表單欄位可能會因在檢查client_max_size之前將整體欄位讀取記憶體而造成過多的記憶體使用。

    CVE-2026-34518

       透過丟棄 Cookie 和 Proxy-Authorization 標頭來洩露敏感資訊 跟隨時會重新導向到不同的來源。

    CVE-2026-34519

       透過 reason 參數插入標頭。

    CVE-2026-34520

       根據 RFC 9110 檢查控制字元的標頭值，可能繞過安全性。

    CVE-2026-34525

       標頭可以複製，例如主機標頭。


    對於 Debian 11 bullseye，這些問題已在 3.7.4-1+deb11u2 版本中修復。

    建議您升級 python-aiohttp 套件。

    如需 python-aiohttp 的詳細安全性狀態，請參閱其安全追蹤頁面：
    https://security-tracker.debian.org/tracker/python-aiohttp

    有關 Debian LTS 安全公告、如何將這些更新套用至您的系統以及常見問題的詳細資訊，請參閱：https://wiki.debian.org/LTSAttachment:signature.ascDescription: 這是數位簽署的訊息部分

Tenable 已直接從 Debian 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

远程 Debian 11 主机上存在安装的程序包，该程序包受到 DLA-4613 公告中提及的多个漏洞的影响。

    ------------------------------------------------------------------------- Debian LTS 公告 debian-lts@lists.debian.org DLA-4613-1 Leidert 2026 https://www.debian.org/lts/security/Daniel 年 6 月 1 日 https://wiki.debian.org/LTS-------------------------------------------------------------------------

    程序包：python-aiohttp 版本：3.7.4-1+deb11u2 CVE ID： CVE-2025-53643 CVE-2025-69224 CVE-2025-69225 CVE-2025-69226 CVE-2025-69227 CVE-2025-69228 CVE-2025-69229 CVE-2026-22815 CVE-2026-34513 CVE-2026-34514 CVE-2026-34516 CVE-2026-34517 CVE-2026-34518 CVE-2026-34519 CVE-2026-34520 CVE-2026-34525


    在适用于 asyncio 和 Python 的异步 HTTP 客户端/服务器框架 aiohttp 中发现多个漏洞。


    CVE-2025-53643

       因未解析 HTTP 请求的尾部而导致的请求走私漏洞。

    CVE-2025-69224

       可能在存在非 ASCII 字符的 HTTP 解析器中发起请求走私攻击。

    CVE-2025-69225

       允许在 Range 标头中显示非 ASCII 小数的解析器逻辑。

    CVE-2025-69226

       路径遍历漏洞，允许攻击者确定是否存在路径组件。

    CVE-2025-69227

       处理 POST 正文时，绕过断言语句时可发生无限循环，从而导致可能的 DoS 攻击。

    CVE-2025-69228

       可能的 DoS 攻击可使用 Request.post（） 耗尽内存从而导致服务器冻结。

    CVE-2025-69229

       处理分块消息，在接收大量区块时，可能会造成 CPU 使用率被过度阻断。

    CVE-2026-22815

       由于对标头和尾部处理的限制不足，导致内存使用未达到上限。

    CVE-2026-34513

       内存使用过多，可能因不受限制的 DNS 缓存而导致 DoS。

    CVE-2026-34514

       标头注入。

    CVE-2026-34516

       具有过多部分标头的响应会导致潜在的 DoS 漏洞。

    CVE-2026-34517

       某些多部分表单字段可能会造成过度内存使用，这是因为在检查client_max_size之前将整个字段读入内存所致。

    CVE-2026-34518

       跟随重定向至其他源时，通过丢弃 Cookie 和 Proxy-Authorization 标头泄露敏感信息。

    CVE-2026-34519

       通过 reason 参数进行标头注入。

    CVE-2026-34520

       可能通过根据 RFC 9110 检查控制字符标头值造成的安全绕过。

    CVE-2026-34525

       可以复制标头，例如主机标头。


    对于 Debian 11 bullseye，这些问题已在 3.7.4-1+deb11u2 版本中修复。

    我们建议您升级 python-aiohttp 程序包。

    如需了解 python-aiohttp 的详细安全状态，请参阅其安全跟踪页面：
    https://security-tracker.debian.org/tracker/python-aiohttp

    有关 Debian LTS 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址: https://wiki.debian.org/LTSAttachment:signature.ascDescription: 此消息部分已经过数字签署

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - AIOHTTP 是用于 asyncio 和 Python 的异步 HTTP 客户端/服务器框架。低于版本 3.13.4时跟随重定向到不同源时aiohttp 会丢弃 Authorization 标头但会保留 Cookie 和 Proxy-Authorization 标头。已在版本 3.13.4 中修补此问题。(CVE-2026-34518)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - AIOHTTP は、asyncio および Python 用の非同期 HTTP クライアント/サーバーフレームワークです。バージョン 3.13.4より前では、異なる生成元へのリダイレクトの後に続く場合、aiohttp は Authorization ヘッダーを破棄しますが、Cookie および Proxy-Authorization ヘッダーは保持されます。この問題には、バージョン 3.13.4 でパッチが適用されています。(CVE-2026-34518)

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

リモートのDebian 11ホストには、dla-4613アドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    ------------------------------------------------------------------------- Debian LTSアドバイザリ DLA-4613-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Daniel Leidert 2026年6月1日 https://wiki.debian.org/LTS-------------------------------------------------------------------------

    パッケージ:python-aiohttp バージョン:3.7.4-1+deb11u2 CVE ID: CVE-2025-53643 CVE-2025-69224 CVE-2025-69225 CVE-2025-69226 CVE-2025-69227 CVE-2025-69228 CVE-2025-69229 CVE-2026-22815 CVE-2026-34513 CVE-2026-34514 CVE-2026-34516 CVE-2026-34517 CVE-2026-34518 CVE-2026-34519 CVE-2026-34520 CVE-2026-34525


    asyncio および Python 用の非同期 HTTP クライアント/サーバーフレームワークである aiohttp に、複数の脆弱性が見つかりました。


    CVE-2025-53643

       HTTPリクエストのトレーラーセクションを解析しないことによるリクエストスマグリングの脆弱性。

    CVE-2025-69224

       非 ASCII 文字の存在による、HTTP パーサーのリクエストスマグリング攻撃の可能性。

    CVE-2025-69225

       パーサーロジック。これにより、非 ASCII 小数点を Range ヘッダーに存在できます。

    CVE-2025-69226

       攻撃者がパスコンポーネントの存在を確認できるパストラバーサルの脆弱性。

    CVE-2025-69227

       POST 本文を処理する際、アサーションステートメントがバイパスされると無限ループが発生し、DoS 攻撃を引き起こす可能性があります。

    CVE-2025-69228

       Request.post() を使用してメモリを枯渇させることでサーバーをフリーズさせることができる DoS 攻撃の可能性。

    CVE-2025-69229

       チャンクメッセージの処理により、チャンクを大量に受信したときに、CPU 使用率が過剰にブロックされる可能性があります。

    CVE-2026-22815

       ヘッダーおよびトレーラー処理の制限が不十分なため、メモリ使用量が上限なし。

    CVE-2026-34513

       過剰なメモリ使用により、制限されないDNSキャッシュによるDoSが発生する可能性があります。

    CVE-2026-34514

       ヘッダーインジェクション。

    CVE-2026-34516

       過剰な数のマルチパートヘッダーを持つ応答によって引き起こされる潜在的な DoS 脆弱性。

    CVE-2026-34517

       client_max_sizeをチェックする前にエントリフィールドをメモリに読み込むことで、一部のマルチパートフォームフィールドで過剰なメモリ使用が発生する可能性があります。

    CVE-2026-34518

       別の送信元へのリダイレクトに従う際のクッキーおよび Proxy-Authorization ヘッダーのドロップによる機密情報の漏洩。

    CVE-2026-34519

       理由パラメーターによるヘッダーインジェクション。

    CVE-2026-34520

       RFC 9110 に従って制御文字のヘッダー値をチェックすることによるセキュリティバイパスの可能性。

    CVE-2026-34525

       ヘッダー(例:ホストヘッダー)は複製できます。


    Debian 11 bullseye では、これらの問題はバージョン 3.7.4-1+deb11u2 で修正されました。

    お使いの python-aiohttp パッケージをアップグレードすることを推奨します。

    python-aiohttp の詳細なセキュリティステータスについては、次のセキュリティトラッカーページを参照してください
    https://security-tracker.debian.org/tracker/python-aiohttp

    Debian LTS セキュリティアドバイザリに関する詳細、これらの更新をシステムに適用する方法、およびよくある質問については、こちらを参照してください。https://wiki.debian.org/LTSAttachment:signature.ascDescription: これはデジタル署名されたメッセージ部分です

Tenable は、前述の説明ブロックを Debian セキュリティアドバイザリから直接抽出しました。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートの SUSE Linux SLES15 / SLES_SAP15 ホストには、SUSE-SU-2026:3059-1 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    python-aiohttp のこの更新は、次の問題を修正します

    - CVE-2026-22815:ヘッダー/トレーラーの処理が不十分なために、サービス拒否(bsc#1261320)が引き起こされる可能性があります。
    - CVE-2026-34513:無制限のDNSキャッシュにより、サービス拒否(bsc#1261321)が引き起こされる可能性があります。
    - CVE-2026-34514:content_typeパラメーター操作により、ヘッダーインジェクションが発生する可能性があります(bsc#1261322)。
    - CVE-2026-34516:過剰なマルチパートヘッダーにより、サービス拒否(bsc#1261329)が引き起こされる可能性があります。
    - CVE-2026-34517:大きなマルチパートフォームフィールドで、サービス拒否(bsc#1261331)が発生する可能性があります。
    - CVE-2026-34518:リダイレクト中に保持されたクッキーおよび Proxy-Authorization ヘッダーにより、情報漏洩が発生する可能性があります(bsc#1261332)。
    - CVE-2026-34519:理由パラメーターは、ヘッダーインジェクション(bsc#1261334)を実行するために使用できます。
    - CVE-2026-34520:文字の処理が不適切なために、ヘッダーインジェクションが発生する可能性があります(bsc#1261335)。
    - CVE-2026-34525:複数の Host ヘッダーにより、セキュリティバイパス(bsc#1261343)が発生する可能性があります。
    - CVE-2026-34993:CookieJar.load() への信頼できない入力のロードによる任意のコードの実行(bsc#1267471)。
    - CVE-2026-47265:リクエストで「cookies」パラメーターで設定されたクッキーがクロスオリジンリダイレクト(bsc#1267561)に続いて送信されます。

Tenable は、前述の記述ブロックを SUSE セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートの SUSE Linux SLED15 / SLED_SAP15 / SLES15 / SLES_SAP15 ホストには、SUSE-SU-2026:3207-1 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    python-aiohttp のこの更新は、次の問題を修正します

    - CVE-2026-22815:ヘッダー/トレーラー処理の制限が不十分なため、メモリ使用量の上限が無制限になり、サービス拒否(bsc#1261320)が引き起こされる可能性があります。
    - CVE-2026-34513:無制限のDNSキャッシュは、過剰なメモリ使用を引き起こし、サービス拒否(bsc#1261321)につながる可能性があります。
    - CVE-2026-34514:「content_type」パラメーター操作により、ヘッダーインジェクションが発生する可能性があります(bsc#1261322)。
    - CVE-2026-34516:過剰なマルチパートヘッダーを持つ応答が、意図した以上に多くのメモリを使用し、サービス拒否(bsc#1261329)を引き起こす可能性があります。
    - CVE-2026-34517:サイズチェックなしでメモリに読み込まれる大きなマルチパートフォームフィールドにより、サービス拒否が発生する可能性があります(bsc#1261331)。
    - CVE-2026-34518:リダイレクトに従うときに「Cookie」および「Proxy-Authorization」ヘッダーを保持すると、情報漏洩が発生する可能性があります(bsc#1261332)。
    - CVE-2026-34519:応答の「reason」パラメーターは、ヘッダーインジェクションを実行するために使用される可能性があります(bsc#1261334)。
    - CVE-2026-34520:C パーサーによる不適切な文字処理により、ヘッダーインジェクションが発生する可能性があります(bsc#1261335)。
    - CVE-2026-34525:複数の「Host」ヘッダーにより、プロキシサーバー(bsc#1261343)でセキュリティバイパスが発生する可能性があります。
    - CVE-2026-34993:「CookieJar.load()」で信頼できない入力をロードすると、任意のコードの実行を引き起こす可能性があります(bsc#1267471)。
    - CVE-2026-47265:リクエストで「cookies」パラメーターで設定されたクッキーは、オリジン間リダイレクト後に送信され、機密データを漏洩する可能性があります(bsc#1267561)。
    - CVE-2026-50269:ユーザーコントロール文字列の検証が不適切なために、マルチパートヘッダー(bsc#1268398)で CRLF インジェクションが可能になります。
    - CVE-2026-54273:HTTP/1パイプライン化されたリクエストキューに制限がないため、過剰なリソース消費が発生する可能性があります(bsc#1268543)。
    - CVE-2026-54274:不完全な websocket フレームペイロードにより、メモリ使用制限がバイパスされ、過剰なリソース消費により DoS が引き起こされる可能性があります(bsc#1268544)。
    - CVE-2026-54275:既存の接続TLS再利用された場合、「server_hostname」が SNI チェックをバイパスします(bsc#1268549)。
    - CVE-2026-54277:最適化された C HTTP パーサーを使用する際の「max_line_size」バイパスにより、過剰なリソース消費が引き起こされる可能性があります(bsc#1268556)。
    - CVE-2026-54278:未読の圧縮されたリクエスト本文が、クリーンアップ中に「client_max_size」をバイパスし、DoSを引き起こす可能性があります(bsc#1268559)。
    - CVE-2026-54279:「ホストのみのクッキー」は、「CookieJar」の永続性の後にドメインクッキーになります(bsc#1268560)。
    - CVE-2026-54280:書き込みの途中でクライアントが切断された場合、ペイロードリソースが正しく閉じられず、リソース枯渇(bsc#1268561)を引き起こす可能性があります。

Tenable は、前述の記述ブロックを SUSE セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

The Linux/Unix host has one or more packages installed that are impacted by a vulnerability without a vendor supplied patch available.

  - AIOHTTP is an asynchronous HTTP client/server framework for asyncio and Python. Prior to version 3.13.4,     when following redirects to a different origin, aiohttp drops the Authorization header, but retains the     Cookie and Proxy-Authorization headers. This issue has been patched in version 3.13.4. (CVE-2026-34518)

Note that Nessus relies on the presence of the package as reported by the vendor.

The remote Debian 11 host has packages installed that are affected by multiple vulnerabilities as referenced in the dla-4613 advisory.

    -------------------------------------------------------------------------     Debian LTS Advisory DLA-4613-1                debian-lts@lists.debian.org     https://www.debian.org/lts/security/                       Daniel Leidert     June 01, 2026                                 https://wiki.debian.org/LTS
    -------------------------------------------------------------------------

    Package        : python-aiohttp     Version        : 3.7.4-1+deb11u2     CVE ID         : CVE-2025-53643 CVE-2025-69224 CVE-2025-69225 CVE-2025-69226                      CVE-2025-69227 CVE-2025-69228 CVE-2025-69229 CVE-2026-22815                      CVE-2026-34513 CVE-2026-34514 CVE-2026-34516 CVE-2026-34517                      CVE-2026-34518 CVE-2026-34519 CVE-2026-34520 CVE-2026-34525


    Several vulnerabilities have been found in aiohttp, an asynchronous     HTTP client/server framework for asyncio and Python.


    CVE-2025-53643

       Request smuggling vulnerability due to not parsing trailer sections        of an HTTP request.

    CVE-2025-69224

       Possible request smuggling attack in the HTTP parser with the        presence of non-ASCII characters.

    CVE-2025-69225

       Parser logic which allows non-ASCII decimals to be present in the        Range header.

    CVE-2025-69226

       Path traversal vulnerability that allows an attacker to ascertain        the existence of path components.

    CVE-2025-69227

       When processing a POST body, an infinite loop can occur when assert        statements are bypassed leading to a possible DoS attack.

    CVE-2025-69228

       Possible DoS attack that can freeze the server by exhausting the        memory using Request.post().

    CVE-2025-69229

       The handling of chunked messages that can result in an excessive        blocking of CPU usage when receiving a large number of chunks.

    CVE-2026-22815

       Uncapped memory usage due to insufficient restrictions in header and        trailer handling.

    CVE-2026-34513

       Excessive memory usage possibly resulting in a DoS due to an an        unbounded DNS cache.

    CVE-2026-34514

       Header injection.

    CVE-2026-34516

       Potential DoS vulnerability caused by a response with an excessive        number of multipart headers.

    CVE-2026-34517

       Possible excessive memory usage caused by some multipart form fields        due to reading the entiry field into memory before checking        client_max_size.

    CVE-2026-34518

       Leaking sensitive information by dropping the Cookie and the Proxy-        Authorization headers When following redirects to a different        origin.

    CVE-2026-34519

       Header injection via the reason parameter.

    CVE-2026-34520

       Possible security bypass by checking header values for control        characters accordingly to RFC 9110.

    CVE-2026-34525

       Headers can be duplicated, e.g. the host header.


    For Debian 11 bullseye, these problems have been fixed in version     3.7.4-1+deb11u2.

    We recommend that you upgrade your python-aiohttp packages.

    For the detailed security status of python-aiohttp please refer to     its security tracker page at:
    https://security-tracker.debian.org/tracker/python-aiohttp

    Further information about Debian LTS security advisories, how to apply     these updates to your system and frequently asked questions can be     found at: https://wiki.debian.org/LTS     Attachment:
    signature.asc     Description: This is a digitally signed message part

Tenable has extracted the preceding description block directly from the Debian security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

The remote SUSE Linux SLES16 / SLES_SAP16 host has a package installed that is affected by multiple vulnerabilities as referenced in the SUSE-SU-2026:22173-1 advisory.

    This update for python-aiohttp fixes the following issues

    - CVE-2026-22815: insufficient header/trailer handling can cause a denial of service (bsc#1261320).
    - CVE-2026-34513: unbounded DNS cache can cause a denial of service (bsc#1261321).
    - CVE-2026-34514: content_type parameter manipulation can lead to header Injection (bsc#1261322).
    - CVE-2026-34516: excessive multipart headers can cause a denial of service (bsc#1261329).
    - CVE-2026-34517: large multipart form fields can cause a denial of service (bsc#1261331).
    - CVE-2026-34518: retained Cookie and Proxy-Authorization headers during redirects can lead to information     disclosure       (bsc#1261332).
    - CVE-2026-34519: reason parameter can be use to perform header injection (bsc#1261334).
    - CVE-2026-34520: improper character handling can lead to header injection (bsc#1261335).
    - CVE-2026-34525: multiple Host headers can potentially lead to security bypass (bsc#1261343).
    - CVE-2026-34993: arbitrary code execution via loading untrusted input in CookieJar.load() (bsc#1267471).
    - CVE-2026-47265: cookies set with the `cookies` parameter on requests are sent after following a cross-     origin redirect       (bsc#1267561).

Tenable has extracted the preceding description block directly from the SUSE security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

The remote SUSE Linux SLES15 / SLES_SAP15 host has a package installed that is affected by multiple vulnerabilities as referenced in the SUSE-SU-2026:3059-1 advisory.

    This update for python-aiohttp fixes the following issues

    - CVE-2026-22815: insufficient header/trailer handling can cause a denial of service (bsc#1261320).
    - CVE-2026-34513: unbounded DNS cache can cause a denial of service (bsc#1261321).
    - CVE-2026-34514: content_type parameter manipulation can lead to header Injection (bsc#1261322).
    - CVE-2026-34516: excessive multipart headers can cause a denial of service (bsc#1261329).
    - CVE-2026-34517: large multipart form fields can cause a denial of service (bsc#1261331).
    - CVE-2026-34518: retained Cookie and Proxy-Authorization headers during redirects can lead to information     disclosure (bsc#1261332).
    - CVE-2026-34519: reason parameter can be use to perform header injection (bsc#1261334).
    - CVE-2026-34520: improper character handling can lead to header injection (bsc#1261335).
    - CVE-2026-34525: multiple Host headers can potentially lead to security bypass (bsc#1261343).
    - CVE-2026-34993: arbitrary code execution via loading untrusted input in CookieJar.load() (bsc#1267471).
    - CVE-2026-47265: cookies set with the `cookies` parameter on requests are sent after following a cross-     origin redirect (bsc#1267561).

Tenable has extracted the preceding description block directly from the SUSE security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

The remote SUSE Linux SLED15 / SLED_SAP15 / SLES15 / SLES_SAP15 host has a package installed that is affected by multiple vulnerabilities as referenced in the SUSE-SU-2026:3207-1 advisory.

    This update for python-aiohttp fixes the following issues

    - CVE-2026-22815: insufficient restrictions in header/trailer handling can cause uncapped memory usage and     a denial of       service (bsc#1261320).
    - CVE-2026-34513: unbounded DNS cache can cause a excessive memory usage and lead to a denial of service     (bsc#1261321).
    - CVE-2026-34514: `content_type` parameter manipulation can lead to header injection (bsc#1261322).
    - CVE-2026-34516: response with excessive multipart headers can use more memory than intended and cause a     denial of       service (bsc#1261329).
    - CVE-2026-34517: large multipart form fields read into memory without size check can cause a denial of     service       (bsc#1261331).
    - CVE-2026-34518: retained `Cookie` and `Proxy-Authorization` headers when following redirects can lead to     information       disclosure (bsc#1261332).
    - CVE-2026-34519: response `reason` parameter can be use to perform header injection (bsc#1261334).
    - CVE-2026-34520: improper character handling by C parser can lead to header injection (bsc#1261335).
    - CVE-2026-34525: multiple `Host` headers allow for potential security bypass in proxy servers     (bsc#1261343).
    - CVE-2026-34993: loading untrusted input in `CookieJar.load()` can lead to arbitrary code execution     (bsc#1267471).
    - CVE-2026-47265: cookies set with the `cookies` parameter on requests are sent after following a cross-     origin redirect       and can leak sensitive data (bsc#1267561).
    - CVE-2026-50269: improper validation of user-controlled strings allows for CRLF injection in multipart     headers       (bsc#1268398).
    - CVE-2026-54273: no limit in the HTTP/1 pipelined request queue can lead to excessive resource     consumption       (bsc#1268543).
    - CVE-2026-54274: incomplete websocket frame payloads can bypass memory use limits and cause a DoS via     excessive       resource consumption (bsc#1268544).
    - CVE-2026-54275: `server_hostname` TLS SNI check bypass when an existing connection is reused     (bsc#1268549).
    - CVE-2026-54277: `max_line_size` bypass when using the optimised C HTTP parser can lead to excessive     resource       consumption (bsc#1268556).
    - CVE-2026-54278: unread compressed request bodies can bypass `client_max_size` during cleanup and cause a     DoS       (bsc#1268559).
    - CVE-2026-54279: host-only cookies become domain cookies after `CookieJar` persistence (bsc#1268560).
    - CVE-2026-54280: payload resources are not closed correctly when a client disconnects in the middle of a     write and       can cause resource starvation (bsc#1268561).

Tenable has extracted the preceding description block directly from the SUSE security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
439634	SCA: security update for aiohttp (GHSA-966j-vmvw-g2g9)	Tenable Cloud Security	SCA Checks	2026/4/2	2026/7/2	medium
439634	SCA: security update for aiohttp (GHSA-966j-vmvw-g2g9)	Tenable Self-Hosted Container Security	SCA Checks	2026/4/2	2026/7/2	medium
304764	Linux Distros 未修補的弱點：CVE-2026-34518	Nessus	Misc.	2026/4/3	2026/7/15	medium
318080	Debian dla-4613 ： python-aiohttp-doc - 安全性更新	Nessus	Debian Local Security Checks	2026/6/1	2026/6/1	high
318080	Debian DLA-4613：python-aiohttp-doc - 安全更新	Nessus	Debian Local Security Checks	2026/6/1	2026/6/1	high
304764	Linux Distros 未修补的漏洞：CVE-2026-34518	Nessus	Misc.	2026/4/3	2026/7/15	medium
304764	Linux Distros のパッチ未適用の脆弱性: CVE-2026-34518	Nessus	Misc.	2026/4/3	2026/7/15	medium
318080	Debian dla-4613:python-aiohttp-doc - セキュリティ更新	Nessus	Debian Local Security Checks	2026/6/1	2026/6/1	high
327318	SUSE SLES15 セキュリティ更新:python-aiohttp(SUSE-SU-2026:3059-1)	Nessus	SuSE Local Security Checks	2026/7/16	2026/7/16	high
329280	SUSE SLED15 / SLES15 セキュリティ更新:python-aiohttp(SUSE-SU-2026:3207-1)	Nessus	SuSE Local Security Checks	2026/7/24	2026/7/24	high
304764	Linux Distros Unpatched Vulnerability : CVE-2026-34518	Nessus	Misc.	2026/4/3	2026/7/15	medium
318080	Debian dla-4613 : python-aiohttp-doc - security update	Nessus	Debian Local Security Checks	2026/6/1	2026/6/1	high
323099	SUSE SLES16 Security Update : python-aiohttp (SUSE-SU-2026:22173-1)	Nessus	SuSE Local Security Checks	2026/6/26	2026/6/26	high
327318	SUSE SLES15 Security Update : python-aiohttp (SUSE-SU-2026:3059-1)	Nessus	SuSE Local Security Checks	2026/7/16	2026/7/16	high
329280	SUSE SLED15 / SLES15 Security Update : python-aiohttp (SUSE-SU-2026:3207-1)	Nessus	SuSE Local Security Checks	2026/7/24	2026/7/24	high

检测

插件搜索

medium

medium

medium

high

high

medium

medium

high

high

high

medium

high

high

high

high