There are packages installed that are affected by a vulnerability referenced in the following CVE:

  - AIOHTTP is an asynchronous HTTP client/server framework for asyncio and Python. Prior to version 3.14.0,
    cookies set with the `cookies` parameter on requests are sent after following a cross-origin redirect. If
    a developer uses the `cookies` parameter on a per-request basis then sensitive data might be leaked to an
    attacker if they manage to control a redirect. Version 3.14.0 patches the issue. If unable to upgrade,
    using a `Cookie` header in the `headers` parameter is not vulnerable. (CVE-2026-47265)

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - AIOHTTP 是用于 asyncio 和 Python 的异步 HTTP 客户端/服务器框架。在低于该版本 3.14.0之前，在请求中使用“cookies”参数设置的 Cookie 是在进行跨源重定向之后发送的。如果开发人员在每个请求的基础上使用“cookies”参数，则在设法控制重定向时，敏感数据可能泄露给攻击者。版本 3.14.0 修补了该问题。如果无法升级，则不易在“headers”参数中使用“Cookie”标头。（CVE-2026-47265）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

远程主机上安装的 aioHTTP 版本低于 3.14.0。因此，该应用程序受到多个漏洞的影响：

  - AIOHTTP 是用于 asyncio 和 Python 的异步 HTTP 客户端/服务器框架。在低于版本 3.14.0之前，通过不受信任的输入使用 CookieJar.load（） 可能会允许任意代码执行。大多数使用此函数的应用程序都会使用用户自己的数据，因此这不太可能影响许多应用程序。
    版本 3.14.0 修补了该问题。如果应用程序允许加载攻击者控制的文件，较低版本的变通方案为在加载前审查文件。（CVE-2026-34993）

  - AIOHTTP 是用于 asyncio 和 Python 的异步 HTTP 客户端/服务器框架。在低于版本 3.14.0之前，在请求中使用 cookies 参数设置的 cookie 会在进行跨源重定向之后发送。如果开发人员根据请求使用 cookies 参数，则在攻击者设法控制重定向时，敏感数据可能会泄露给攻击者。版本 3.14.0 修补了该问题。如果无法升级，则在标头参数中使用 Cookie 标头不易受到影响。（CVE-2026-47265）

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且廠商未提供可用的修補程式。

  - AIOHTTP 是適用於 asyncio 和 Python 的非同步 HTTP 用戶端/伺服器架構。在版本 3.14.0之前，在請求時使用「cookies」參數設定的 cookie 會在跨來源重新導向之後傳送。如果開發人員根據每個請求使用「cookies」參數，那麼如果攻擊者設法控制重定向，敏感資料可能會洩露給攻擊者。3.14.0 版修補此問題。如果無法升級，則在 'headers' 參數中使用 'Cookie' 標頭不會受到攻擊。（CVE-2026-47265）

請注意，Nessus 的判定取決於廠商所報告的套件是否存在。

遠端主機上安裝的 aioHTTP 版本比 3.14.0 舊。因此，會受到多個弱點影響：

  - AIOHTTP 是適用於 asyncio 和 Python 的非同步 HTTP 用戶端/伺服器架構。在版本 3.14.0之前，將 CookieJar.load（） 與不受信任的輸入一起使用可能會允許執行任意程式碼。大多數使用此函數的應用程式都會使用使用者自己的資料來執行此操作，因此這不太可能影響許多應用程式。
    3.14.0 版修補此問題。如果應用程式確實允許載入攻擊者控制的檔案，則舊版本的因應措施是在載入之前清理檔案。（CVE-2026-34993）

  - AIOHTTP 是適用於 asyncio 和 Python 的非同步 HTTP 用戶端/伺服器架構。在版本 3.14.0之前，在請求時使用 cookies 參數設定的 cookie 會在跨來源重新導向之後傳送。如果開發人員根據每個要求使用 cookies 參數，那麼如果攻擊者設法控制重新導向，敏感資料可能會洩露給攻擊者。3.14.0 版修補此問題。如果無法升級，則在 headers 參數中使用 Cookie 標頭不會受到攻擊。（CVE-2026-47265）

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - AIOHTTP は、asyncio および Python 用の非同期 HTTP クライアント/サーバーフレームワークです。バージョン 3.14.0 より前では、リクエストで「cookies」パラメーターで設定されたクッキーは、クロスオリジンリダイレクト後に送信されます。開発者がリクエストごとに「cookies」パラメーターを使用する場合、攻撃者がリダイレクトを制御できた場合、機密データが攻撃者に漏洩する可能性があります。バージョン 3.14.0 では、この問題は修正されています。アップグレードできない場合、「headers」パラメーターで「Cookie」ヘッダーを使用しても、脆弱ではありません。(CVE-2026-47265)

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

リモートホストにインストールされている aioHTTP のバージョンは、3.14.0 より前です。そのため、以下の複数の脆弱性の影響を受けます。

  - AIOHTTP は、asyncio および Python 用の非同期 HTTP クライアント/サーバーフレームワークです。バージョン 3.14.0 より前では、信頼できない入力で CookieJar.load() を使用すると、任意のコードを実行できる場合があります。この関数を使用するほとんどのアプリケーションは、ユーザー自身のデータでこれを行うため、多くのアプリケーションに影響を与える可能性は低いでしょう。
    バージョン 3.14.0 では、この問題は修正されています。アプリケーションが攻撃者が制御するファイルへのロードを許可している場合、古いリリースの回避策は、ロードする前にファイルをサニタイズすることです。(CVE-2026-34993)

  - AIOHTTP は、asyncio および Python 用の非同期 HTTP クライアント/サーバーフレームワークです。バージョン 3.14.0 より前では、リクエストの cookies パラメーターで設定されたクッキーは、クロスオリジンリダイレクトの後に送信されます。開発者がリクエストごとにクッキーパラメーターを使用する場合、攻撃者がリダイレクトを制御できた場合、攻撃者に機密データが漏洩する可能性があります。バージョン 3.14.0 では、この問題は修正されています。アップグレードできない場合、headersパラメーターでCookieヘッダーを使用しても脆弱ではありません。(CVE-2026-47265)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートの SUSE Linux SLES15 / SLES_SAP15 ホストには、SUSE-SU-2026:3059-1 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    python-aiohttp のこの更新は、次の問題を修正します

    - CVE-2026-22815:ヘッダー/トレーラーの処理が不十分なために、サービス拒否(bsc#1261320)が引き起こされる可能性があります。
    - CVE-2026-34513:無制限のDNSキャッシュにより、サービス拒否(bsc#1261321)が引き起こされる可能性があります。
    - CVE-2026-34514:content_typeパラメーター操作により、ヘッダーインジェクションが発生する可能性があります(bsc#1261322)。
    - CVE-2026-34516:過剰なマルチパートヘッダーにより、サービス拒否(bsc#1261329)が引き起こされる可能性があります。
    - CVE-2026-34517:大きなマルチパートフォームフィールドで、サービス拒否(bsc#1261331)が発生する可能性があります。
    - CVE-2026-34518:リダイレクト中に保持されたクッキーおよび Proxy-Authorization ヘッダーにより、情報漏洩が発生する可能性があります(bsc#1261332)。
    - CVE-2026-34519:理由パラメーターは、ヘッダーインジェクション(bsc#1261334)を実行するために使用できます。
    - CVE-2026-34520:文字の処理が不適切なために、ヘッダーインジェクションが発生する可能性があります(bsc#1261335)。
    - CVE-2026-34525:複数の Host ヘッダーにより、セキュリティバイパス(bsc#1261343)が発生する可能性があります。
    - CVE-2026-34993:CookieJar.load() への信頼できない入力のロードによる任意のコードの実行(bsc#1267471)。
    - CVE-2026-47265:リクエストで「cookies」パラメーターで設定されたクッキーがクロスオリジンリダイレクト(bsc#1267561)に続いて送信されます。

Tenable は、前述の記述ブロックを SUSE セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートの SUSE Linux SLED15 / SLED_SAP15 / SLES15 / SLES_SAP15 ホストには、SUSE-SU-2026:3207-1 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    python-aiohttp のこの更新は、次の問題を修正します

    - CVE-2026-22815:ヘッダー/トレーラー処理の制限が不十分なため、メモリ使用量の上限が無制限になり、サービス拒否(bsc#1261320)が引き起こされる可能性があります。
    - CVE-2026-34513:無制限のDNSキャッシュは、過剰なメモリ使用を引き起こし、サービス拒否(bsc#1261321)につながる可能性があります。
    - CVE-2026-34514:「content_type」パラメーター操作により、ヘッダーインジェクションが発生する可能性があります(bsc#1261322)。
    - CVE-2026-34516:過剰なマルチパートヘッダーを持つ応答が、意図した以上に多くのメモリを使用し、サービス拒否(bsc#1261329)を引き起こす可能性があります。
    - CVE-2026-34517:サイズチェックなしでメモリに読み込まれる大きなマルチパートフォームフィールドにより、サービス拒否が発生する可能性があります(bsc#1261331)。
    - CVE-2026-34518:リダイレクトに従うときに「Cookie」および「Proxy-Authorization」ヘッダーを保持すると、情報漏洩が発生する可能性があります(bsc#1261332)。
    - CVE-2026-34519:応答の「reason」パラメーターは、ヘッダーインジェクションを実行するために使用される可能性があります(bsc#1261334)。
    - CVE-2026-34520:C パーサーによる不適切な文字処理により、ヘッダーインジェクションが発生する可能性があります(bsc#1261335)。
    - CVE-2026-34525:複数の「Host」ヘッダーにより、プロキシサーバー(bsc#1261343)でセキュリティバイパスが発生する可能性があります。
    - CVE-2026-34993:「CookieJar.load()」で信頼できない入力をロードすると、任意のコードの実行を引き起こす可能性があります(bsc#1267471)。
    - CVE-2026-47265:リクエストで「cookies」パラメーターで設定されたクッキーは、オリジン間リダイレクト後に送信され、機密データを漏洩する可能性があります(bsc#1267561)。
    - CVE-2026-50269:ユーザーコントロール文字列の検証が不適切なために、マルチパートヘッダー(bsc#1268398)で CRLF インジェクションが可能になります。
    - CVE-2026-54273:HTTP/1パイプライン化されたリクエストキューに制限がないため、過剰なリソース消費が発生する可能性があります(bsc#1268543)。
    - CVE-2026-54274:不完全な websocket フレームペイロードにより、メモリ使用制限がバイパスされ、過剰なリソース消費により DoS が引き起こされる可能性があります(bsc#1268544)。
    - CVE-2026-54275:既存の接続TLS再利用された場合、「server_hostname」が SNI チェックをバイパスします(bsc#1268549)。
    - CVE-2026-54277:最適化された C HTTP パーサーを使用する際の「max_line_size」バイパスにより、過剰なリソース消費が引き起こされる可能性があります(bsc#1268556)。
    - CVE-2026-54278:未読の圧縮されたリクエスト本文が、クリーンアップ中に「client_max_size」をバイパスし、DoSを引き起こす可能性があります(bsc#1268559)。
    - CVE-2026-54279:「ホストのみのクッキー」は、「CookieJar」の永続性の後にドメインクッキーになります(bsc#1268560)。
    - CVE-2026-54280:書き込みの途中でクライアントが切断された場合、ペイロードリソースが正しく閉じられず、リソース枯渇(bsc#1268561)を引き起こす可能性があります。

Tenable は、前述の記述ブロックを SUSE セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

The Linux/Unix host has one or more packages installed that are impacted by a vulnerability without a vendor supplied patch available.

  - AIOHTTP is an asynchronous HTTP client/server framework for asyncio and Python. Prior to version 3.14.0,     cookies set with the `cookies` parameter on requests are sent after following a cross-origin redirect. If     a developer uses the `cookies` parameter on a per-request basis then sensitive data might be leaked to an     attacker if they manage to control a redirect. Version 3.14.0 patches the issue. If unable to upgrade,     using a `Cookie` header in the `headers` parameter is not vulnerable. (CVE-2026-47265)

Note that Nessus relies on the presence of the package as reported by the vendor.

The version of aioHTTP installed on the remote host is prior to 3.14.0. It is, therefore, affected by multiple vulnerabilities:

  - AIOHTTP is an asynchronous HTTP client/server framework for asyncio and Python. Prior to version 3.14.0,     using CookieJar.load() with untrusted input may allow arbitrary code execution. Most applications using     this function will be doing so with the user's own data, so this is unlikely to affect many applications.
    Version 3.14.0 patches the issue. If an application does allow attacker controlled files to be loaded, a     workaround on older releases would be to sanitize the files before loading. (CVE-2026-34993)

  - AIOHTTP is an asynchronous HTTP client/server framework for asyncio and Python. Prior to version 3.14.0,     cookies set with the cookies parameter on requests are sent after following a cross-origin redirect. If a     developer uses the cookies parameter on a per-request basis then sensitive data might be leaked to an     attacker if they manage to control a redirect. Version 3.14.0 patches the issue. If unable to upgrade,     using a Cookie header in the headers parameter is not vulnerable. (CVE-2026-47265)

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

The remote SUSE Linux SLES15 / SLES_SAP15 host has a package installed that is affected by multiple vulnerabilities as referenced in the SUSE-SU-2026:3059-1 advisory.

    This update for python-aiohttp fixes the following issues

    - CVE-2026-22815: insufficient header/trailer handling can cause a denial of service (bsc#1261320).
    - CVE-2026-34513: unbounded DNS cache can cause a denial of service (bsc#1261321).
    - CVE-2026-34514: content_type parameter manipulation can lead to header Injection (bsc#1261322).
    - CVE-2026-34516: excessive multipart headers can cause a denial of service (bsc#1261329).
    - CVE-2026-34517: large multipart form fields can cause a denial of service (bsc#1261331).
    - CVE-2026-34518: retained Cookie and Proxy-Authorization headers during redirects can lead to information     disclosure (bsc#1261332).
    - CVE-2026-34519: reason parameter can be use to perform header injection (bsc#1261334).
    - CVE-2026-34520: improper character handling can lead to header injection (bsc#1261335).
    - CVE-2026-34525: multiple Host headers can potentially lead to security bypass (bsc#1261343).
    - CVE-2026-34993: arbitrary code execution via loading untrusted input in CookieJar.load() (bsc#1267471).
    - CVE-2026-47265: cookies set with the `cookies` parameter on requests are sent after following a cross-     origin redirect (bsc#1267561).

Tenable has extracted the preceding description block directly from the SUSE security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

The remote SUSE Linux SLED15 / SLED_SAP15 / SLES15 / SLES_SAP15 host has a package installed that is affected by multiple vulnerabilities as referenced in the SUSE-SU-2026:3207-1 advisory.

    This update for python-aiohttp fixes the following issues

    - CVE-2026-22815: insufficient restrictions in header/trailer handling can cause uncapped memory usage and     a denial of       service (bsc#1261320).
    - CVE-2026-34513: unbounded DNS cache can cause a excessive memory usage and lead to a denial of service     (bsc#1261321).
    - CVE-2026-34514: `content_type` parameter manipulation can lead to header injection (bsc#1261322).
    - CVE-2026-34516: response with excessive multipart headers can use more memory than intended and cause a     denial of       service (bsc#1261329).
    - CVE-2026-34517: large multipart form fields read into memory without size check can cause a denial of     service       (bsc#1261331).
    - CVE-2026-34518: retained `Cookie` and `Proxy-Authorization` headers when following redirects can lead to     information       disclosure (bsc#1261332).
    - CVE-2026-34519: response `reason` parameter can be use to perform header injection (bsc#1261334).
    - CVE-2026-34520: improper character handling by C parser can lead to header injection (bsc#1261335).
    - CVE-2026-34525: multiple `Host` headers allow for potential security bypass in proxy servers     (bsc#1261343).
    - CVE-2026-34993: loading untrusted input in `CookieJar.load()` can lead to arbitrary code execution     (bsc#1267471).
    - CVE-2026-47265: cookies set with the `cookies` parameter on requests are sent after following a cross-     origin redirect       and can leak sensitive data (bsc#1267561).
    - CVE-2026-50269: improper validation of user-controlled strings allows for CRLF injection in multipart     headers       (bsc#1268398).
    - CVE-2026-54273: no limit in the HTTP/1 pipelined request queue can lead to excessive resource     consumption       (bsc#1268543).
    - CVE-2026-54274: incomplete websocket frame payloads can bypass memory use limits and cause a DoS via     excessive       resource consumption (bsc#1268544).
    - CVE-2026-54275: `server_hostname` TLS SNI check bypass when an existing connection is reused     (bsc#1268549).
    - CVE-2026-54277: `max_line_size` bypass when using the optimised C HTTP parser can lead to excessive     resource       consumption (bsc#1268556).
    - CVE-2026-54278: unread compressed request bodies can bypass `client_max_size` during cleanup and cause a     DoS       (bsc#1268559).
    - CVE-2026-54279: host-only cookies become domain cookies after `CookieJar` persistence (bsc#1268560).
    - CVE-2026-54280: payload resources are not closed correctly when a client disconnects in the middle of a     write and       can cause resource starvation (bsc#1268561).

Tenable has extracted the preceding description block directly from the SUSE security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

The remote SUSE Linux SLES16 / SLES_SAP16 host has a package installed that is affected by multiple vulnerabilities as referenced in the SUSE-SU-2026:22173-1 advisory.

    This update for python-aiohttp fixes the following issues

    - CVE-2026-22815: insufficient header/trailer handling can cause a denial of service (bsc#1261320).
    - CVE-2026-34513: unbounded DNS cache can cause a denial of service (bsc#1261321).
    - CVE-2026-34514: content_type parameter manipulation can lead to header Injection (bsc#1261322).
    - CVE-2026-34516: excessive multipart headers can cause a denial of service (bsc#1261329).
    - CVE-2026-34517: large multipart form fields can cause a denial of service (bsc#1261331).
    - CVE-2026-34518: retained Cookie and Proxy-Authorization headers during redirects can lead to information     disclosure       (bsc#1261332).
    - CVE-2026-34519: reason parameter can be use to perform header injection (bsc#1261334).
    - CVE-2026-34520: improper character handling can lead to header injection (bsc#1261335).
    - CVE-2026-34525: multiple Host headers can potentially lead to security bypass (bsc#1261343).
    - CVE-2026-34993: arbitrary code execution via loading untrusted input in CookieJar.load() (bsc#1267471).
    - CVE-2026-47265: cookies set with the `cookies` parameter on requests are sent after following a cross-     origin redirect       (bsc#1267561).

Tenable has extracted the preceding description block directly from the SUSE security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
442598	SCA: security update for aiohttp (GHSA-hg6j-4rv6-33pg)	Tenable Cloud Security	SCA Checks	2026/6/4	2026/7/6	high
442598	SCA: security update for aiohttp (GHSA-hg6j-4rv6-33pg)	Tenable Self-Hosted Container Security	SCA Checks	2026/6/4	2026/7/6	high
318373	Linux Distros 未修补的漏洞：CVE-2026-47265	Nessus	Misc.	2026/6/3	2026/7/15	high
320552	aioHTTP < 3.14.0 多种漏洞	Nessus	Misc.	2026/6/11	2026/6/12	high
318373	Linux Distros 未修補弱點：CVE-2026-47265	Nessus	Misc.	2026/6/3	2026/7/15	high
320552	aioHTTP < 3.14.0 多個漏洞	Nessus	Misc.	2026/6/11	2026/6/12	high
318373	Linux Distros のパッチ未適用の脆弱性: CVE-2026-47265	Nessus	Misc.	2026/6/3	2026/7/15	high
320552	aioHTTP < 3.14.0 の複数の脆弱性	Nessus	Misc.	2026/6/11	2026/6/12	high
327318	SUSE SLES15 セキュリティ更新:python-aiohttp(SUSE-SU-2026:3059-1)	Nessus	SuSE Local Security Checks	2026/7/16	2026/7/16	high
329280	SUSE SLED15 / SLES15 セキュリティ更新:python-aiohttp(SUSE-SU-2026:3207-1)	Nessus	SuSE Local Security Checks	2026/7/24	2026/7/24	high
318373	Linux Distros Unpatched Vulnerability : CVE-2026-47265	Nessus	Misc.	2026/6/3	2026/7/15	high
320552	aioHTTP < 3.14.0 Multiple Vulnerabilities	Nessus	Misc.	2026/6/11	2026/6/12	high
327318	SUSE SLES15 Security Update : python-aiohttp (SUSE-SU-2026:3059-1)	Nessus	SuSE Local Security Checks	2026/7/16	2026/7/16	high
329280	SUSE SLED15 / SLES15 Security Update : python-aiohttp (SUSE-SU-2026:3207-1)	Nessus	SuSE Local Security Checks	2026/7/24	2026/7/24	high
323099	SUSE SLES16 Security Update : python-aiohttp (SUSE-SU-2026:22173-1)	Nessus	SuSE Local Security Checks	2026/6/26	2026/6/26	high

检测

插件搜索

high

high

high

high

high

high

high

high

high

high

high

high

high

high

high