There are packages installed that are affected by a vulnerability referenced in the following CVE:

  - AIOHTTP is an asynchronous HTTP client/server framework for asyncio and Python. Prior to 3.14.0, attacker-
    controlled input included into multipart/payload headers can be used to modify a request to inject
    additional headers or similar. In the unlikely situation that an application is passing user-controlled
    strings into MultipartWriter.append(headers=...) or Payload.headers, then an attacker may be able to
    modify the request to inject headers or change the contents of the request. This vulnerability is fixed in
    3.14.0. (CVE-2026-50269)

远程主机上安装的 aiohttp Python 库版本低于 3.14.0。因此，该应用程序会受到漏洞的影响：

  - 在之前 3.14.0，multipart/payload 标头中包含的攻击者控制的输入可用于修改请求，以注入额外的标头或类似内容。在应用程序将用户控制的字符串传递至 MultipartWriter.append（headers=...） 或 Payload.headers 的不太可能的情况下，攻击者可能可以修改请求以注入标头或更改请求的内容。（CVE-2026-50269）

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - AIOHTTP 是用于 asyncio 和 Python 的异步 HTTP 客户端/服务器框架。在之前 3.14.0，multipart/payload 标头中包含的攻击者控制的输入可用于修改请求，以注入额外的标头或类似内容。在应用程序将用户控制的字符串传递至 MultipartWriter.append（headers=...） 或 Payload.headers 的不太可能的情况下，攻击者可能可以修改请求以注入标头或更改请求的内容。此漏洞已在 3.14.0 中修复。(CVE-2026-50269)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

遠端主機上安裝的 aiohttp Python 程式庫版本早於 3.14.0。因此，其會受到一個弱點的影響：

  - 在 3.14.0之前，包含在 multipart/payload 標頭中的攻擊者控制輸入可用來修改要求，以插入其他標頭或類似項目。在應用程式將使用者控制的字串傳遞至 MultipartWriter.append（headers=...） 或 Payload.headers 的不太可能的情況下，攻擊者可能會修改要求以插入標頭或變更要求的內容。（CVE-2026-50269）

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且廠商未提供可用的修補程式。

  - AIOHTTP 是適用於 asyncio 和 Python 的非同步 HTTP 用戶端/伺服器架構。在 3.14.0之前，包含在 multipart/payload 標頭中的攻擊者控制輸入可用來修改請求以插入其他標頭或類似內容。在應用程式將使用者控制的字串傳遞至 MultipartWriter.append（headers=...） 或 Payload.headers 的不太可能的情況下，攻擊者可能會修改要求以插入標頭或變更要求的內容。此弱點已在 3.14.0 中修正。(CVE-2026-50269)

請注意，Nessus 依賴供應商報告的套件存在。

リモートの SUSE Linux SLED15 / SLED_SAP15 / SLES15 / SLES_SAP15 ホストには、SUSE-SU-2026:3207-1 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    python-aiohttp のこの更新は、次の問題を修正します

    - CVE-2026-22815:ヘッダー/トレーラー処理の制限が不十分なため、メモリ使用量の上限が無制限になり、サービス拒否(bsc#1261320)が引き起こされる可能性があります。
    - CVE-2026-34513:無制限のDNSキャッシュは、過剰なメモリ使用を引き起こし、サービス拒否(bsc#1261321)につながる可能性があります。
    - CVE-2026-34514:「content_type」パラメーター操作により、ヘッダーインジェクションが発生する可能性があります(bsc#1261322)。
    - CVE-2026-34516:過剰なマルチパートヘッダーを持つ応答が、意図した以上に多くのメモリを使用し、サービス拒否(bsc#1261329)を引き起こす可能性があります。
    - CVE-2026-34517:サイズチェックなしでメモリに読み込まれる大きなマルチパートフォームフィールドにより、サービス拒否が発生する可能性があります(bsc#1261331)。
    - CVE-2026-34518:リダイレクトに従うときに「Cookie」および「Proxy-Authorization」ヘッダーを保持すると、情報漏洩が発生する可能性があります(bsc#1261332)。
    - CVE-2026-34519:応答の「reason」パラメーターは、ヘッダーインジェクションを実行するために使用される可能性があります(bsc#1261334)。
    - CVE-2026-34520:C パーサーによる不適切な文字処理により、ヘッダーインジェクションが発生する可能性があります(bsc#1261335)。
    - CVE-2026-34525:複数の「Host」ヘッダーにより、プロキシサーバー(bsc#1261343)でセキュリティバイパスが発生する可能性があります。
    - CVE-2026-34993:「CookieJar.load()」で信頼できない入力をロードすると、任意のコードの実行を引き起こす可能性があります(bsc#1267471)。
    - CVE-2026-47265:リクエストで「cookies」パラメーターで設定されたクッキーは、オリジン間リダイレクト後に送信され、機密データを漏洩する可能性があります(bsc#1267561)。
    - CVE-2026-50269:ユーザーコントロール文字列の検証が不適切なために、マルチパートヘッダー(bsc#1268398)で CRLF インジェクションが可能になります。
    - CVE-2026-54273:HTTP/1パイプライン化されたリクエストキューに制限がないため、過剰なリソース消費が発生する可能性があります(bsc#1268543)。
    - CVE-2026-54274:不完全な websocket フレームペイロードにより、メモリ使用制限がバイパスされ、過剰なリソース消費により DoS が引き起こされる可能性があります(bsc#1268544)。
    - CVE-2026-54275:既存の接続TLS再利用された場合、「server_hostname」が SNI チェックをバイパスします(bsc#1268549)。
    - CVE-2026-54277:最適化された C HTTP パーサーを使用する際の「max_line_size」バイパスにより、過剰なリソース消費が引き起こされる可能性があります(bsc#1268556)。
    - CVE-2026-54278:未読の圧縮されたリクエスト本文が、クリーンアップ中に「client_max_size」をバイパスし、DoSを引き起こす可能性があります(bsc#1268559)。
    - CVE-2026-54279:「ホストのみのクッキー」は、「CookieJar」の永続性の後にドメインクッキーになります(bsc#1268560)。
    - CVE-2026-54280:書き込みの途中でクライアントが切断された場合、ペイロードリソースが正しく閉じられず、リソース枯渇(bsc#1268561)を引き起こす可能性があります。

Tenable は、前述の記述ブロックを SUSE セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - AIOHTTP は、asyncio および Python 用の非同期 HTTP クライアント/サーバーフレームワークです。3.14.0以前では、マルチパート/ペイロードヘッダーに含まれる攻撃者がコントロールする入力を使用して、追加のヘッダーなどを注入するリクエストを変更できます。アプリケーションがユーザーコントロール文字列を MultipartWriter.append(headers=...) または Payload.headers に渡すまれな状況では、攻撃者がリクエストを変更してヘッダーを挿入したり、リクエストの内容を変更したりする可能性があります。この脆弱性は 3.14.0 で修正されました。(CVE-2026-50269)

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

リモートの SUSE Linux SLES15 / SLES_SAP15 ホストには、SUSE-SU-2026:3208-1 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    - CVE-2026-50269:ユーザーコントロール文字列の検証が不適切なために、マルチパートヘッダー(bsc#1268398)で CRLF インジェクションが可能になります。
    - CVE-2026-54273:HTTP/1パイプライン化されたリクエストキューに制限がないため、過剰なリソース消費が発生する可能性があります(bsc#1268543)。
    - CVE-2026-54274:不完全な websocket フレームペイロードにより、メモリ使用制限がバイパスされ、過剰なリソース消費により DoS が引き起こされる可能性があります(bsc#1268544)。
    - CVE-2026-54275:既存の接続TLS再利用された場合、「server_hostname」が SNI チェックをバイパスします(bsc#1268549)。
    - CVE-2026-54277:最適化された C HTTP パーサーを使用する際の「max_line_size」バイパスにより、過剰なリソース消費が引き起こされる可能性があります(bsc#1268556)。
    - CVE-2026-54278:未読の圧縮されたリクエスト本文が、クリーンアップ中に「client_max_size」をバイパスし、DoSを引き起こす可能性があります(bsc#1268559)。
    - CVE-2026-54279:「ホストのみのクッキー」は、「CookieJar」の永続性の後にドメインクッキーになります(bsc#1268560)。
    - CVE-2026-54280:書き込みの途中でクライアントが切断された場合、ペイロードリソースが正しく閉じられず、リソース枯渇(bsc#1268561)を引き起こす可能性があります。

Tenable は、前述の記述ブロックを SUSE セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートホストにインストールされている aiohttp Python ライブラリは、 3.14.0 より前のバージョンです。したがって、脆弱性の影響を受けます。

  - 3.14.0 以前では、マルチパート/ペイロードヘッダーに含まれる攻撃者がコントロールする入力を使用して、追加のヘッダーなどを注入するリクエストを修正できます。アプリケーションがユーザーコントロール文字列を MultipartWriter.append(headers=...) または Payload.headers に渡すまれな状況では、攻撃者がリクエストを変更してヘッダーを挿入したり、リクエストの内容を変更したりする可能性があります。(CVE-2026-50269)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートの openSUSE 16 ホストに、複数の脆弱性の影響を受けているパッケージがインストールされています。これらの脆弱性は openSUSE-SU-2026:21372-1 アドバイザリで言及されています。

    python-aiohttp のこの更新は、次の問題を修正します

    - CVE-2026-50269:ユーザーコントロール文字列の検証が不適切なために、マルチパートヘッダー(bsc#1268398)で CRLF インジェクションが可能になります。
    - CVE-2026-54273:HTTP/1パイプライン化されたリクエストキューに制限がないため、過剰なリソース消費が発生する可能性があります(bsc#1268543)。
    - CVE-2026-54274:不完全な websocket フレームペイロードにより、メモリ使用制限がバイパスされ、過剰なリソース消費により DoS が引き起こされる可能性があります(bsc#1268544)。
    - CVE-2026-54275:既存の接続TLS再利用された場合、「server_hostname」が SNI チェックをバイパスします(bsc#1268549)。
    - CVE-2026-54277:最適化された C HTTP パーサーを使用する際の「max_line_size」バイパスにより、過剰なリソース消費が引き起こされる可能性があります(bsc#1268556)。
    - CVE-2026-54278:未読の圧縮されたリクエスト本文が、クリーンアップ中に「client_max_size」をバイパスし、DoSを引き起こす可能性があります(bsc#1268559)。
    - CVE-2026-54279:「ホストのみのクッキー」は、「CookieJar」の永続性の後にドメインクッキーになります(bsc#1268560)。
    - CVE-2026-54280:書き込みの途中でクライアントが切断された場合、ペイロードリソースが正しく閉じられず、リソース枯渇(bsc#1268561)を引き起こす可能性があります。

Tenable は、前述の記述ブロックを SUSE セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

The remote SUSE Linux SLED15 / SLED_SAP15 / SLES15 / SLES_SAP15 host has a package installed that is affected by multiple vulnerabilities as referenced in the SUSE-SU-2026:3207-1 advisory.

    This update for python-aiohttp fixes the following issues

    - CVE-2026-22815: insufficient restrictions in header/trailer handling can cause uncapped memory usage and     a denial of       service (bsc#1261320).
    - CVE-2026-34513: unbounded DNS cache can cause a excessive memory usage and lead to a denial of service     (bsc#1261321).
    - CVE-2026-34514: `content_type` parameter manipulation can lead to header injection (bsc#1261322).
    - CVE-2026-34516: response with excessive multipart headers can use more memory than intended and cause a     denial of       service (bsc#1261329).
    - CVE-2026-34517: large multipart form fields read into memory without size check can cause a denial of     service       (bsc#1261331).
    - CVE-2026-34518: retained `Cookie` and `Proxy-Authorization` headers when following redirects can lead to     information       disclosure (bsc#1261332).
    - CVE-2026-34519: response `reason` parameter can be use to perform header injection (bsc#1261334).
    - CVE-2026-34520: improper character handling by C parser can lead to header injection (bsc#1261335).
    - CVE-2026-34525: multiple `Host` headers allow for potential security bypass in proxy servers     (bsc#1261343).
    - CVE-2026-34993: loading untrusted input in `CookieJar.load()` can lead to arbitrary code execution     (bsc#1267471).
    - CVE-2026-47265: cookies set with the `cookies` parameter on requests are sent after following a cross-     origin redirect       and can leak sensitive data (bsc#1267561).
    - CVE-2026-50269: improper validation of user-controlled strings allows for CRLF injection in multipart     headers       (bsc#1268398).
    - CVE-2026-54273: no limit in the HTTP/1 pipelined request queue can lead to excessive resource     consumption       (bsc#1268543).
    - CVE-2026-54274: incomplete websocket frame payloads can bypass memory use limits and cause a DoS via     excessive       resource consumption (bsc#1268544).
    - CVE-2026-54275: `server_hostname` TLS SNI check bypass when an existing connection is reused     (bsc#1268549).
    - CVE-2026-54277: `max_line_size` bypass when using the optimised C HTTP parser can lead to excessive     resource       consumption (bsc#1268556).
    - CVE-2026-54278: unread compressed request bodies can bypass `client_max_size` during cleanup and cause a     DoS       (bsc#1268559).
    - CVE-2026-54279: host-only cookies become domain cookies after `CookieJar` persistence (bsc#1268560).
    - CVE-2026-54280: payload resources are not closed correctly when a client disconnects in the middle of a     write and       can cause resource starvation (bsc#1268561).

Tenable has extracted the preceding description block directly from the SUSE security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

The Linux/Unix host has one or more packages installed that are impacted by a vulnerability without a vendor supplied patch available.

  - AIOHTTP is an asynchronous HTTP client/server framework for asyncio and Python. Prior to 3.14.0, attacker-     controlled input included into multipart/payload headers can be used to modify a request to inject     additional headers or similar. In the unlikely situation that an application is passing user-controlled     strings into MultipartWriter.append(headers=...) or Payload.headers, then an attacker may be able to     modify the request to inject headers or change the contents of the request. This vulnerability is fixed in     3.14.0. (CVE-2026-50269)

Note that Nessus relies on the presence of the package as reported by the vendor.

The remote SUSE Linux SLES15 / SLES_SAP15 host has a package installed that is affected by multiple vulnerabilities as referenced in the SUSE-SU-2026:3208-1 advisory.

    - CVE-2026-50269: improper validation of user-controlled strings allows for CRLF injection in multipart     headers       (bsc#1268398).
    - CVE-2026-54273: no limit in the HTTP/1 pipelined request queue can lead to excessive resource     consumption       (bsc#1268543).
    - CVE-2026-54274: incomplete websocket frame payloads can bypass memory use limits and cause a DoS via     excessive       resource consumption (bsc#1268544).
    - CVE-2026-54275: `server_hostname` TLS SNI check bypass when an existing connection is reused     (bsc#1268549).
    - CVE-2026-54277: `max_line_size` bypass when using the optimised C HTTP parser can lead to excessive     resource       consumption (bsc#1268556).
    - CVE-2026-54278: unread compressed request bodies can bypass `client_max_size` during cleanup and cause a     DoS       (bsc#1268559).
    - CVE-2026-54279: host-only cookies become domain cookies after `CookieJar` persistence (bsc#1268560).
    - CVE-2026-54280: payload resources are not closed correctly when a client disconnects in the middle of a     write and       can cause resource starvation (bsc#1268561).

Tenable has extracted the preceding description block directly from the SUSE security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

The version of the aiohttp Python library installed on the remote host is prior to 3.14.0. It is, therefore, affected by a vulnerability:

  - Prior to 3.14.0, attacker-controlled input included into multipart/payload headers can be used to modify     a request to inject additional headers or similar. In the unlikely situation that an application is passing     user-controlled strings into MultipartWriter.append(headers=...) or Payload.headers, then an attacker may     be able to modify the request to inject headers or change the contents of the request. (CVE-2026-50269)

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

The remote openSUSE 16 host has a package installed that is affected by multiple vulnerabilities as referenced in the openSUSE-SU-2026:21372-1 advisory.

    This update for python-aiohttp fixes the following issues

    - CVE-2026-50269: improper validation of user-controlled strings allows for CRLF injection in multipart     headers       (bsc#1268398).
    - CVE-2026-54273: no limit in the HTTP/1 pipelined request queue can lead to excessive resource     consumption       (bsc#1268543).
    - CVE-2026-54274: incomplete websocket frame payloads can bypass memory use limits and cause a DoS via     excessive       resource consumption (bsc#1268544).
    - CVE-2026-54275: `server_hostname` TLS SNI check bypass when an existing connection is reused     (bsc#1268549).
    - CVE-2026-54277: `max_line_size` bypass when using the optimised C HTTP parser can lead to excessive     resource       consumption (bsc#1268556).
    - CVE-2026-54278: unread compressed request bodies can bypass `client_max_size` during cleanup and cause a     DoS       (bsc#1268559).
    - CVE-2026-54279: host-only cookies become domain cookies after `CookieJar` persistence (bsc#1268560).
    - CVE-2026-54280: payload resources are not closed correctly when a client disconnects in the middle of a     write and       can cause resource starvation (bsc#1268561).

Tenable has extracted the preceding description block directly from the SUSE security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
443263	SCA: security update for aiohttp (GHSA-m6qw-4cw2-hm4m)	Tenable Cloud Security	SCA Checks	2026/6/16	2026/7/27	medium
443263	SCA: security update for aiohttp (GHSA-m6qw-4cw2-hm4m)	Tenable Self-Hosted Container Security	SCA Checks	2026/6/16	2026/7/27	medium
460808	Echo: python-aiohttp: security update to 3.14.0	Tenable Self-Hosted Container Security	Echo Local Security Checks	2026/10/2	2026/10/16	medium
460808	Echo: python-aiohttp: security update to 3.14.0	Tenable Cloud Security	Echo Local Security Checks	2026/10/2	2026/10/16	medium
324957	Python 库 aiohttp < 3.14.0 标头注入	Nessus	Misc.	2026/7/3	2026/7/6	medium
322127	Linux Distros 未修补的漏洞：CVE-2026-50269	Nessus	Misc.	2026/6/22	2026/9/17	medium
324957	Python 函式庫 aiohttp < 3.14.0 標頭插入	Nessus	Misc.	2026/7/3	2026/7/6	medium
322127	Linux Distros 未修補弱點：CVE-2026-50269	Nessus	Misc.	2026/6/22	2026/9/17	medium
329280	SUSE SLED15 / SLES15 セキュリティ更新:python-aiohttp(SUSE-SU-2026:3207-1)	Nessus	SuSE Local Security Checks	2026/7/24	2026/9/18	high
322127	Linux Distros のパッチ未適用の脆弱性: CVE-2026-50269	Nessus	Misc.	2026/6/22	2026/9/17	medium
329282	SUSE SLES15 セキュリティ更新:python-aiohttp(SUSE-SU-2026:3208-1)	Nessus	SuSE Local Security Checks	2026/7/24	2026/7/24	high
324957	Python ライブラリ aiohttp < 3.14.0 ヘッダーインジェクション	Nessus	Misc.	2026/7/3	2026/7/6	medium
328918	openSUSE 16 セキュリティ更新:python-aiohttp(openSUSE-SU-2026:21372-1)	Nessus	SuSE Local Security Checks	2026/7/22	2026/7/22	high
329280	SUSE SLED15 / SLES15 Security Update : python-aiohttp (SUSE-SU-2026:3207-1)	Nessus	SuSE Local Security Checks	2026/7/24	2026/9/18	high
322127	Linux Distros Unpatched Vulnerability : CVE-2026-50269	Nessus	Misc.	2026/6/22	2026/9/17	medium
329282	SUSE SLES15 Security Update : python-aiohttp (SUSE-SU-2026:3208-1)	Nessus	SuSE Local Security Checks	2026/7/24	2026/7/24	high
324957	Python Library aiohttp < 3.14.0 Header Injection	Nessus	Misc.	2026/7/3	2026/7/6	medium
328918	openSUSE 16 Security Update : python-aiohttp (openSUSE-SU-2026:21372-1)	Nessus	SuSE Local Security Checks	2026/7/22	2026/7/22	high

检测

插件搜索

medium

medium

medium

medium

medium

medium

medium

medium

high

medium

high

medium

high

high

medium

high

medium

high