There are packages installed that are affected by a vulnerability referenced in the following CVE:

  - Python-Multipart is a streaming multipart parser for Python. Prior to 0.0.30, parse_options_header parsed
    Content-Disposition (and Content-Type) headers with email.message.Message, which transparently applies RFC
    2231/5987 decoding. The extended parameter syntax (filename*=charset'lang'value, name*=..., and the
    filename*0/filename*1 continuation form) is decoded and surfaced under the bare filename/name key, and
    overrides the plain parameter when both are present. RFC 7578 §4.2 explicitly forbids the filename* form
    in multipart/form-data. Components that follow RFC 7578, or that do not implement RFC 2231/5987 decoding
    for multipart/form-data (WAFs, proxies, gateways), may interpret such a header differently. An attacker
    can exploit that difference to smuggle a different field name or filename past an upstream inspector to
    the backend. This vulnerability is fixed in 0.0.30. (CVE-2026-53537)

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且供應商未提供可用的修補程式。

  - Python-Multipart 是 Python 的串流 multipart 剖析器。在之前 0.0.30，parse_options_header使用 email.message.Message 剖析 Content-Disposition （和 Content-Type） 標頭，以透明方式套用 RFC 2231/5987 解碼。擴充參數語法 （filename*=charset'lang'value、name*=...，以及 filename*0/filename*1 接續形式） 會解碼並顯示在裸檔案名稱/名稱索引鍵下，並在兩者存在時覆寫純參數。RFC 7578 4.2 明確禁止 multipart/form-data 中的 filename* 形式。遵循 RFC 7578 的元件，或未針對 multipart/form-data （WAF、Proxy、閘道） 實作 RFC 2231/5987 解碼的元件，可能會以不同的方式解譯這類標頭。攻擊者可以利用這種差異，將不同的欄位名稱或檔案名稱通過上游檢查器偷運到後端。此弱點已在 0.0.30 中修正。(CVE-2026-53537)

請注意，Nessus 依賴供應商報告的套件存在。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - Python-Multipart 是适用于 Python 的流式多部分解析器。之前 0.0.30，parse_options_header使用 email.message.Message 解析 Content-Disposition（和 Content-Type）标头，这会透明地应用 RFC 2231/5987 解码。扩展参数语法（filename*=charset'lang'value、name*=... 和 filename*0/filename*1 延续形式）被解码并显示在裸 filename/name 密钥下，并在两者存在时替代 plain 参数。RFC 7578 4.2 明确禁止 multipart/form-data 中的 filename* 表单。如果组件遵循 RFC 7578 或未实现多部分/表单数据（WAF、代理、网关）的 RFC 2231/5987 解码，则可能会以不同的方式解释此类标头。攻击者可利用该差异将不同的字段名或文件名通过上游检查器走私到后端。此漏洞已在 0.0.30 中修复。(CVE-2026-53537)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - Python-Multipart は、Python 用のストリーミングマルチパートパーサーです。0.0.30より前に、parse_options_header は Content-Disposition(および Content-Type)ヘッダーを email.message.Message で解析していました。これは、RFC 2231/5987 デコーディングを透過的に適用します。拡張されたパラメーター構文(filename*=charset'lang'value、name*=...、および filename*0/filename*1 継続フォーム)は、デコードされ、ベアファイル名/名前キーの下に表示され、両方が存在するときはプレーンパラメーターをオーバーライドします。RFC 7578 4.2 、multipart/form-data での filename* フォームを明示的に禁止しています。RFC 7578 に従うコンポーネント、またはマルチパート/フォームデータ (WAF、プロキシ、ゲートウェイ) の RFC 2231/5987 デコーディングを実装していないコンポーネントは、このようなヘッダーを異なって解釈する場合があります。攻撃者がこの差分を悪用して、異なるフィールド名またはファイル名を Upstream インスペクターを越えてバックエンドにスマグリングする可能性があります。この脆弱性は 0.0.30 で修正されました。(CVE-2026-53537)

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

リモートの openSUSE 16 ホストに、複数の脆弱性の影響を受けているパッケージがインストールされています。これらの脆弱性は openSUSE-SU-2026:21066-1 アドバイザリで言及されています。

    python-python-multipart用のこの更新プログラムでは、以下の問題が修正されています

    - CVE-2026-53537:拡張パラメーターのあるマルチパート/フォームデータにより、ファイルまたはパラメーターのスマグリングが発生する可能性があります(bsc#1268506)。
    - CVE-2026-53538:セミコロンを含む urlencode されたリクエストがフォームフィールドスマグリング(bsc#1268496)を引き起こす可能性があります。
    - CVE-2026-53539:小さく細工された本文により、サービス拒否(bsc#1268500)が引き起こされる可能性があります。
    - CVE-2026-53540:細工されたリクエストバッファにより、可用性が低下する可能性があります(bsc#1268488)。

Tenable は、前述の記述ブロックを SUSE セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートの SUSE Linux SLES16 / SLES_SAP16 ホストには、SUSE-SU-2026:22372-1 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    python-python-multipart用のこの更新プログラムでは、以下の問題が修正されています

    - CVE-2026-53537:拡張パラメーターのあるマルチパート/フォームデータにより、ファイルまたはパラメーターのスマグリングが発生する可能性があります(bsc#1268506)。
    - CVE-2026-53538:セミコロンを含む urlencode されたリクエストがフォームフィールドスマグリング(bsc#1268496)を引き起こす可能性があります。
    - CVE-2026-53539:小さく細工された本文により、サービス拒否(bsc#1268500)が引き起こされる可能性があります。
    - CVE-2026-53540:細工されたリクエストバッファにより、可用性が低下する可能性があります(bsc#1268488)。

Tenable は、前述の記述ブロックを SUSE セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

The Linux/Unix host has one or more packages installed that are impacted by a vulnerability without a vendor supplied patch available.

  - Python-Multipart is a streaming multipart parser for Python. Prior to 0.0.30, parse_options_header parsed     Content-Disposition (and Content-Type) headers with email.message.Message, which transparently applies RFC     2231/5987 decoding. The extended parameter syntax (filename*=charset'lang'value, name*=..., and the     filename*0/filename*1 continuation form) is decoded and surfaced under the bare filename/name key, and     overrides the plain parameter when both are present. RFC 7578 4.2 explicitly forbids the filename* form     in multipart/form-data. Components that follow RFC 7578, or that do not implement RFC 2231/5987 decoding     for multipart/form-data (WAFs, proxies, gateways), may interpret such a header differently. An attacker     can exploit that difference to smuggle a different field name or filename past an upstream inspector to     the backend. This vulnerability is fixed in 0.0.30. (CVE-2026-53537)

Note that Nessus relies on the presence of the package as reported by the vendor.

The remote openSUSE 16 host has a package installed that is affected by multiple vulnerabilities as referenced in the openSUSE-SU-2026:21066-1 advisory.

    This update for python-python-multipart fixes the following issues

    - CVE-2026-53537: multipart/form-data with extended parameters can lead to file or parameter smuggling     (bsc#1268506).
    - CVE-2026-53538: urlencoded requests containing semicolons can lead to form field smuggling     (bsc#1268496).
    - CVE-2026-53539: small crafted body can cause a denial of service (bsc#1268500).
    - CVE-2026-53540: crafted request buffers can lead to degrading availability (bsc#1268488).

Tenable has extracted the preceding description block directly from the SUSE security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

The remote SUSE Linux SLES16 / SLES_SAP16 host has a package installed that is affected by multiple vulnerabilities as referenced in the SUSE-SU-2026:22372-1 advisory.

    This update for python-python-multipart fixes the following issues

    - CVE-2026-53537: multipart/form-data with extended parameters can lead to file or parameter smuggling     (bsc#1268506).
    - CVE-2026-53538: urlencoded requests containing semicolons can lead to form field smuggling     (bsc#1268496).
    - CVE-2026-53539: small crafted body can cause a denial of service (bsc#1268500).
    - CVE-2026-53540: crafted request buffers can lead to degrading availability (bsc#1268488).

Tenable has extracted the preceding description block directly from the SUSE security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
443225	SCA: security update for python-multipart (GHSA-vffw-93wf-4j4q)	Tenable Self-Hosted Container Security	SCA Checks	2026/6/16	2026/7/6	medium
443225	SCA: security update for python-multipart (GHSA-vffw-93wf-4j4q)	Tenable Cloud Security	SCA Checks	2026/6/16	2026/7/6	medium
322155	Linux Distros 未修補弱點：CVE-2026-53537	Nessus	Misc.	2026/6/23	2026/7/26	medium
322155	Linux Distros 未修补的漏洞：CVE-2026-53537	Nessus	Misc.	2026/6/23	2026/7/26	medium
322155	Linux Distros のパッチ未適用の脆弱性: CVE-2026-53537	Nessus	Misc.	2026/6/23	2026/7/26	medium
324071	openSUSE 16 セキュリティ更新:python-python-multipart(openSUSE-SU-2026:21066-1)	Nessus	SuSE Local Security Checks	2026/7/1	2026/7/1	medium
324845	SUSE SLES16 セキュリティ更新:python-python-multipart(SUSE-SU-2026:22372-1)	Nessus	SuSE Local Security Checks	2026/7/2	2026/7/2	medium
322155	Linux Distros Unpatched Vulnerability : CVE-2026-53537	Nessus	Misc.	2026/6/23	2026/7/26	medium
324071	openSUSE 16 Security Update : python-python-multipart (openSUSE-SU-2026:21066-1)	Nessus	SuSE Local Security Checks	2026/7/1	2026/7/1	medium
324845	SUSE SLES16 Security Update : python-python-multipart (SUSE-SU-2026:22372-1)	Nessus	SuSE Local Security Checks	2026/7/2	2026/7/2	medium

检测

插件搜索

medium

medium

medium

medium

medium

medium

medium

medium

medium

medium