There are packages installed that are affected by a vulnerability referenced in the following CVE:

  - A remote attacker can inject LDAP special characters into the Distinguished Name (DN) construction in
    DefaultLdapRealm class. User-supplied username input is directly concatenated into the LDAP DN template
    without any escaping of RFC 2253 special characters. This allows an attacker to manipulate the DN
    structure used for LDAP bind authentication, potentially bypassing authentication or impersonating other
    users. This issue affects all Apache Shiro versions through 2.2.0, and 3.0.0-alpha-1 when using
    DefaultLdapRealm Upgrade to Apache Shiro 2.2.1 or 3.0.0-alpha-2 or later, which fixes the issue.
    (CVE-2026-49268)

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且廠商未提供可用的修補程式。

  - 遠端攻擊者可將 LDAP 特殊字元插入 DefaultLdapRealm 類別中的辨別名稱 （DN） 建構中。使用者提供的使用者名稱輸入會直接串連到 LDAP DN 範本中，而不會逸出 RFC 2253 特殊字元。攻擊者可藉此操控用於 LDAP 繫結驗證的 DN 結構，進而繞過驗證或模擬其他使用者。使用此 DefaultLdapRealm 升級至 Apache Shiro 2.2.1 或 3.0.0-alpha-2 或更新版本時，此問題會影響所有 Apache Shiro 版本2.2.0，以及 3.0.0-alpha-1 版本，這可修正此問題。
    (CVE-2026-49268)

請注意，Nessus 依賴供應商報告的套件存在。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - 远程攻击者可将 LDAP 特殊字符注入 DefaultLdapRealm 类中的可分辨名 （DN） 构造。用户提供的用户名输入会直接串联到 LDAP DN 模板中，且不会转义 RFC 2253 特殊字符。这允许攻击者操纵用于 LDAP bind 认证的 DN 结构，从而可能绕过认证或冒充其他用户。此问题会影响所有 Apache Shiro 及之前 2.2.0的所有版本，使用 DefaultLdapRealm 时会影响 3.0.0-alpha-1 升级到 Apache Shiro 2.2.1 或 3.0.0-alpha-2 或更高版本，即可修复此问题。
    (CVE-2026-49268)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - リモートの攻撃者が、LDAP 特殊文字を DefaultLdapRealm クラスの識別名(DN)構造に注入する可能性があります。ユーザー指定のユーザー名入力は、RFC 2253 の特殊文字をエスケープすることなく、LDAP DN テンプレートに直接連結されます。これにより、攻撃者はLDAPバインド認証に使用されるDN構造を操作し、認証をバイパスしたり、他のユーザーになりすましたりする可能性があります。この問題は、 2.2.0 までのすべての Apache Shiro バージョンと、DefaultLdapRealm 使用時の 3.0.0-alpha-1 に影響します Apache Shiro 2.2.1 または 3.0.0-alpha-2 以降にアップグレードしてください。これにより、この問題が修正されます。
    (CVE-2026-49268)

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

The Linux/Unix host has one or more packages installed that are impacted by a vulnerability without a vendor supplied patch available.

  - A remote attacker can inject LDAP special characters into the Distinguished Name (DN) construction in     DefaultLdapRealm class. User-supplied username input is directly concatenated into the LDAP DN template     without any escaping of RFC 2253 special characters. This allows an attacker to manipulate the DN     structure used for LDAP bind authentication, potentially bypassing authentication or impersonating other     users. This issue affects all Apache Shiro versions through 2.2.0, and 3.0.0-alpha-1 when using     DefaultLdapRealm Upgrade to Apache Shiro 2.2.1 or 3.0.0-alpha-2 or later, which fixes the issue.
    (CVE-2026-49268)

Note that Nessus relies on the presence of the package as reported by the vendor.

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
443524	SCA: security update for org.apache.shiro:shiro-core (GHSA-x96m-rh44-vgv8)	Tenable Self-Hosted Container Security	SCA Checks	2026/6/19	2026/7/2	high
443524	SCA: security update for org.apache.shiro:shiro-core (GHSA-x96m-rh44-vgv8)	Tenable Cloud Security	SCA Checks	2026/6/19	2026/7/2	high
321744	Linux Distros 未修補弱點：CVE-2026-49268	Nessus	Misc.	2026/6/20	2026/9/2	high
321744	Linux Distros 未修补的漏洞：CVE-2026-49268	Nessus	Misc.	2026/6/20	2026/9/2	high
321744	Linux Distros のパッチ未適用の脆弱性: CVE-2026-49268	Nessus	Misc.	2026/6/20	2026/9/2	high
321744	Linux Distros Unpatched Vulnerability : CVE-2026-49268	Nessus	Misc.	2026/6/20	2026/9/2	high

检测

插件搜索

high

high

high

high

high

high