There are packages installed that are affected by a vulnerability referenced in the following CVE:

  - AIOHTTP is an asynchronous HTTP client/server framework for asyncio and Python. Prior to 3.14.1, the
    server_hostname TLS SNI check can be bypassed when an existing connection is reused. If an application
    makes multiple requests to the same domain, but with different per-request server_hostname parameters,
    then the later calls may succeed by reusing the existing connection when they should have been rejected
    due to the TLS SNI check. This vulnerability is fixed in 3.14.1. (CVE-2026-54275)

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且廠商未提供可用的修補程式。

  - AIOHTTP 是適用於 asyncio 和 Python 的非同步 HTTP 用戶端/伺服器架構。在之前 3.14.1，重複使用現有連線時，可以略過 server_hostname TLS SNI 檢查。如果應用程式對相同的網域提出多個要求，但每個要求的 server_hostname 參數不同，則後續的呼叫可能會透過重複使用現有連線而成功，而這些連線會因為TLS SNI 檢查而遭到拒絕。此弱點已在 3.14.1 中修正。(CVE-2026-54275)

請注意，Nessus 依賴供應商報告的套件存在。

遠端主機上安裝的 aiohttp Python 程式庫版本低於 3.14.1。因此，會受到多個弱點影響：

  - 在 3.14.1 之前版本中，可以排入佇列的工作流程要求數目沒有限制。攻擊者能夠利用工作流程要求來佔用過多的記憶體容量，從而可能導致系統 DoS。(CVE-2026-54273)

  - 在 3.14.1 之前版本中，重複使用現有連線時，可以略過 server_hostname TLS SNI 檢查。
    如果應用程式對相同網域提出多個要求，但每個要求的 server_hostname 參數不同，則後續的呼叫可能會透過重複使用現有連線而成功，而這些連線本應因為 TLS SNI 檢查而遭到拒絕。(CVE-2026-54275)

  - 在 3.14.1 之前版本中，可以在 C 剖析器中繞過 HTTP 要求部分的 max_line_size 檢查。如果使用經最佳化的 C 剖析器 （預先建置 Wheel 中的預設值），則攻擊者可能能夠透過 HTTP 剖析器傳送過大的行，進而佔用過多的記憶體，這可能導致 DoS。(CVE-2026-54277)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

远程主机上安装的 aiohttp Python 库版本低于 3.14.1。因此，该应用程序受到多个漏洞的影响：

  - 在之前， 3.14.1对于可排队的流水线请求数量没有限制。攻击者可能会使用管道请求来使用过多内存，从而可能导致 DoS。（CVE-2026-54273）

  - 在之前的版本 3.14.1 中，重复使用现有连接时可绕过 server_hostname TLS SNI 检查。
    如果应用程序向同一域发出多个请求，但每个请求的server_hostname参数不同，则后续调用可能会通过重新使用现有连接而成功，而这些连接本应因 TLS SNI 检查而遭到拒绝。（CVE-2026-54275）

  - 在之前的版本 3.14.1中，C 解析器中 HTTP 请求的某些部分可以绕过max_line_size检查。如果使用经过优化的 C 解析器（预构建轮中的默认值），则攻击者可能会通过 HTTP 解析器发送超大的行并使用过多内存，从而可能导致 DoS。（CVE-2026-54277）

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - AIOHTTP 是用于 asyncio 和 Python 的异步 HTTP 客户端/服务器框架。在之前的版本 3.14.1中，重复使用现有连接时可绕过 server_hostname TLS SNI 检查。如果应用程序向同一域发出多个请求，但每个请求的server_hostname参数不同，则后续调用可能会通过重新使用现有连接而成功，而这些连接本应因 TLS SNI 检查而遭到拒绝。此漏洞已在 3.14.1 中修复。(CVE-2026-54275)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

リモートの SUSE Linux SLES15 / SLES_SAP15 ホストには、SUSE-SU-2026:3208-1 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    - CVE-2026-50269:ユーザーコントロール文字列の検証が不適切なために、マルチパートヘッダー(bsc#1268398)で CRLF インジェクションが可能になります。
    - CVE-2026-54273:HTTP/1パイプライン化されたリクエストキューに制限がないため、過剰なリソース消費が発生する可能性があります(bsc#1268543)。
    - CVE-2026-54274:不完全な websocket フレームペイロードにより、メモリ使用制限がバイパスされ、過剰なリソース消費により DoS が引き起こされる可能性があります(bsc#1268544)。
    - CVE-2026-54275:既存の接続TLS再利用された場合、「server_hostname」が SNI チェックをバイパスします(bsc#1268549)。
    - CVE-2026-54277:最適化された C HTTP パーサーを使用する際の「max_line_size」バイパスにより、過剰なリソース消費が引き起こされる可能性があります(bsc#1268556)。
    - CVE-2026-54278:未読の圧縮されたリクエスト本文が、クリーンアップ中に「client_max_size」をバイパスし、DoSを引き起こす可能性があります(bsc#1268559)。
    - CVE-2026-54279:「ホストのみのクッキー」は、「CookieJar」の永続性の後にドメインクッキーになります(bsc#1268560)。
    - CVE-2026-54280:書き込みの途中でクライアントが切断された場合、ペイロードリソースが正しく閉じられず、リソース枯渇(bsc#1268561)を引き起こす可能性があります。

Tenable は、前述の記述ブロックを SUSE セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートの SUSE Linux SLED15 / SLED_SAP15 / SLES15 / SLES_SAP15 ホストには、SUSE-SU-2026:3207-1 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    python-aiohttp のこの更新は、次の問題を修正します

    - CVE-2026-22815:ヘッダー/トレーラー処理の制限が不十分なため、メモリ使用量の上限が無制限になり、サービス拒否(bsc#1261320)が引き起こされる可能性があります。
    - CVE-2026-34513:無制限のDNSキャッシュは、過剰なメモリ使用を引き起こし、サービス拒否(bsc#1261321)につながる可能性があります。
    - CVE-2026-34514:「content_type」パラメーター操作により、ヘッダーインジェクションが発生する可能性があります(bsc#1261322)。
    - CVE-2026-34516:過剰なマルチパートヘッダーを持つ応答が、意図した以上に多くのメモリを使用し、サービス拒否(bsc#1261329)を引き起こす可能性があります。
    - CVE-2026-34517:サイズチェックなしでメモリに読み込まれる大きなマルチパートフォームフィールドにより、サービス拒否が発生する可能性があります(bsc#1261331)。
    - CVE-2026-34518:リダイレクトに従うときに「Cookie」および「Proxy-Authorization」ヘッダーを保持すると、情報漏洩が発生する可能性があります(bsc#1261332)。
    - CVE-2026-34519:応答の「reason」パラメーターは、ヘッダーインジェクションを実行するために使用される可能性があります(bsc#1261334)。
    - CVE-2026-34520:C パーサーによる不適切な文字処理により、ヘッダーインジェクションが発生する可能性があります(bsc#1261335)。
    - CVE-2026-34525:複数の「Host」ヘッダーにより、プロキシサーバー(bsc#1261343)でセキュリティバイパスが発生する可能性があります。
    - CVE-2026-34993:「CookieJar.load()」で信頼できない入力をロードすると、任意のコードの実行を引き起こす可能性があります(bsc#1267471)。
    - CVE-2026-47265:リクエストで「cookies」パラメーターで設定されたクッキーは、オリジン間リダイレクト後に送信され、機密データを漏洩する可能性があります(bsc#1267561)。
    - CVE-2026-50269:ユーザーコントロール文字列の検証が不適切なために、マルチパートヘッダー(bsc#1268398)で CRLF インジェクションが可能になります。
    - CVE-2026-54273:HTTP/1パイプライン化されたリクエストキューに制限がないため、過剰なリソース消費が発生する可能性があります(bsc#1268543)。
    - CVE-2026-54274:不完全な websocket フレームペイロードにより、メモリ使用制限がバイパスされ、過剰なリソース消費により DoS が引き起こされる可能性があります(bsc#1268544)。
    - CVE-2026-54275:既存の接続TLS再利用された場合、「server_hostname」が SNI チェックをバイパスします(bsc#1268549)。
    - CVE-2026-54277:最適化された C HTTP パーサーを使用する際の「max_line_size」バイパスにより、過剰なリソース消費が引き起こされる可能性があります(bsc#1268556)。
    - CVE-2026-54278:未読の圧縮されたリクエスト本文が、クリーンアップ中に「client_max_size」をバイパスし、DoSを引き起こす可能性があります(bsc#1268559)。
    - CVE-2026-54279:「ホストのみのクッキー」は、「CookieJar」の永続性の後にドメインクッキーになります(bsc#1268560)。
    - CVE-2026-54280:書き込みの途中でクライアントが切断された場合、ペイロードリソースが正しく閉じられず、リソース枯渇(bsc#1268561)を引き起こす可能性があります。

Tenable は、前述の記述ブロックを SUSE セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートホストにインストールされている aiohttp Python ライブラリのバージョンは 3.14.1 より前です。そのため、以下の複数の脆弱性の影響を受けます。

  - 3.14.1 より前では、キューに格納可能なパイプラインリクエスト数に制限がありませんでした。攻撃者は、パイプライン化されたリクエストを使用して過剰な量のメモリを消費させ、DoS を引き起こす可能性があります。(CVE-2026-54273)

  - 3.14.1 より前では、既存の接続が再利用された場合、server_hostname TLS SNI チェックをバイパスできました。
    アプリケーションが同じドメインに対して複数のリクエストを行い、リクエストごとに異なる server_hostname パラメーターを指定している場合、TLS SNI チェックによって拒否されるべき後続の呼び出しが、既存の接続を再利用することで成功する可能性があります。(CVE-2026-54275)

  - 3.14.1 より前では、C パーサーにおいて HTTP リクエストの一部に対する max_line_size チェックをバイパスすることが可能でした。最適化された C パーサー (事前構築済みホイールのデフォルト) を使用している場合、攻撃者は HTTP パーサーを介して過大な行を送信し、過剰な量のメモリを消費させることで、DoS を引き起こす可能性があります。(CVE-2026-54277)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - AIOHTTP は、asyncio および Python 用の非同期 HTTP クライアント/サーバーフレームワークです。3.14.1より前に、既存の接続が再利用されると、server_hostname TLS SNIチェックがバイパスされる可能性があります。アプリケーションが同じドメインに対して複数のリクエストを行っているが、リクエストごとのserver_hostnameパラメーターが異なる場合、TLS SNI チェックのために拒否されるべきときに、既存の接続を再利用することで後の呼び出しが成功する可能性があります。この脆弱性は 3.14.1 で修正されました。(CVE-2026-54275)

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

リモートの openSUSE 16 ホストに、複数の脆弱性の影響を受けているパッケージがインストールされています。これらの脆弱性は openSUSE-SU-2026:21372-1 アドバイザリで言及されています。

    python-aiohttp のこの更新は、次の問題を修正します

    - CVE-2026-50269:ユーザーコントロール文字列の検証が不適切なために、マルチパートヘッダー(bsc#1268398)で CRLF インジェクションが可能になります。
    - CVE-2026-54273:HTTP/1パイプライン化されたリクエストキューに制限がないため、過剰なリソース消費が発生する可能性があります(bsc#1268543)。
    - CVE-2026-54274:不完全な websocket フレームペイロードにより、メモリ使用制限がバイパスされ、過剰なリソース消費により DoS が引き起こされる可能性があります(bsc#1268544)。
    - CVE-2026-54275:既存の接続TLS再利用された場合、「server_hostname」が SNI チェックをバイパスします(bsc#1268549)。
    - CVE-2026-54277:最適化された C HTTP パーサーを使用する際の「max_line_size」バイパスにより、過剰なリソース消費が引き起こされる可能性があります(bsc#1268556)。
    - CVE-2026-54278:未読の圧縮されたリクエスト本文が、クリーンアップ中に「client_max_size」をバイパスし、DoSを引き起こす可能性があります(bsc#1268559)。
    - CVE-2026-54279:「ホストのみのクッキー」は、「CookieJar」の永続性の後にドメインクッキーになります(bsc#1268560)。
    - CVE-2026-54280:書き込みの途中でクライアントが切断された場合、ペイロードリソースが正しく閉じられず、リソース枯渇(bsc#1268561)を引き起こす可能性があります。

Tenable は、前述の記述ブロックを SUSE セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

The remote SUSE Linux SLES15 / SLES_SAP15 host has a package installed that is affected by multiple vulnerabilities as referenced in the SUSE-SU-2026:3208-1 advisory.

    - CVE-2026-50269: improper validation of user-controlled strings allows for CRLF injection in multipart     headers       (bsc#1268398).
    - CVE-2026-54273: no limit in the HTTP/1 pipelined request queue can lead to excessive resource     consumption       (bsc#1268543).
    - CVE-2026-54274: incomplete websocket frame payloads can bypass memory use limits and cause a DoS via     excessive       resource consumption (bsc#1268544).
    - CVE-2026-54275: `server_hostname` TLS SNI check bypass when an existing connection is reused     (bsc#1268549).
    - CVE-2026-54277: `max_line_size` bypass when using the optimised C HTTP parser can lead to excessive     resource       consumption (bsc#1268556).
    - CVE-2026-54278: unread compressed request bodies can bypass `client_max_size` during cleanup and cause a     DoS       (bsc#1268559).
    - CVE-2026-54279: host-only cookies become domain cookies after `CookieJar` persistence (bsc#1268560).
    - CVE-2026-54280: payload resources are not closed correctly when a client disconnects in the middle of a     write and       can cause resource starvation (bsc#1268561).

Tenable has extracted the preceding description block directly from the SUSE security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

The remote SUSE Linux SLED15 / SLED_SAP15 / SLES15 / SLES_SAP15 host has a package installed that is affected by multiple vulnerabilities as referenced in the SUSE-SU-2026:3207-1 advisory.

    This update for python-aiohttp fixes the following issues

    - CVE-2026-22815: insufficient restrictions in header/trailer handling can cause uncapped memory usage and     a denial of       service (bsc#1261320).
    - CVE-2026-34513: unbounded DNS cache can cause a excessive memory usage and lead to a denial of service     (bsc#1261321).
    - CVE-2026-34514: `content_type` parameter manipulation can lead to header injection (bsc#1261322).
    - CVE-2026-34516: response with excessive multipart headers can use more memory than intended and cause a     denial of       service (bsc#1261329).
    - CVE-2026-34517: large multipart form fields read into memory without size check can cause a denial of     service       (bsc#1261331).
    - CVE-2026-34518: retained `Cookie` and `Proxy-Authorization` headers when following redirects can lead to     information       disclosure (bsc#1261332).
    - CVE-2026-34519: response `reason` parameter can be use to perform header injection (bsc#1261334).
    - CVE-2026-34520: improper character handling by C parser can lead to header injection (bsc#1261335).
    - CVE-2026-34525: multiple `Host` headers allow for potential security bypass in proxy servers     (bsc#1261343).
    - CVE-2026-34993: loading untrusted input in `CookieJar.load()` can lead to arbitrary code execution     (bsc#1267471).
    - CVE-2026-47265: cookies set with the `cookies` parameter on requests are sent after following a cross-     origin redirect       and can leak sensitive data (bsc#1267561).
    - CVE-2026-50269: improper validation of user-controlled strings allows for CRLF injection in multipart     headers       (bsc#1268398).
    - CVE-2026-54273: no limit in the HTTP/1 pipelined request queue can lead to excessive resource     consumption       (bsc#1268543).
    - CVE-2026-54274: incomplete websocket frame payloads can bypass memory use limits and cause a DoS via     excessive       resource consumption (bsc#1268544).
    - CVE-2026-54275: `server_hostname` TLS SNI check bypass when an existing connection is reused     (bsc#1268549).
    - CVE-2026-54277: `max_line_size` bypass when using the optimised C HTTP parser can lead to excessive     resource       consumption (bsc#1268556).
    - CVE-2026-54278: unread compressed request bodies can bypass `client_max_size` during cleanup and cause a     DoS       (bsc#1268559).
    - CVE-2026-54279: host-only cookies become domain cookies after `CookieJar` persistence (bsc#1268560).
    - CVE-2026-54280: payload resources are not closed correctly when a client disconnects in the middle of a     write and       can cause resource starvation (bsc#1268561).

Tenable has extracted the preceding description block directly from the SUSE security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

The Linux/Unix host has one or more packages installed that are impacted by a vulnerability without a vendor supplied patch available.

  - AIOHTTP is an asynchronous HTTP client/server framework for asyncio and Python. Prior to 3.14.1, the     server_hostname TLS SNI check can be bypassed when an existing connection is reused. If an application     makes multiple requests to the same domain, but with different per-request server_hostname parameters,     then the later calls may succeed by reusing the existing connection when they should have been rejected     due to the TLS SNI check. This vulnerability is fixed in 3.14.1. (CVE-2026-54275)

Note that Nessus relies on the presence of the package as reported by the vendor.

The version of the aiohttp Python library installed on the remote host is prior to 3.14.1. It is, therefore, affected by multiple vulnerabilities:

  - Prior to 3.14.1, no limit was present on the number of pipelined requests that could be queued. An     attacker may be able to use pipelined requests to use excessive amounts of memory, potentially leading to     DoS. (CVE-2026-54273)

  - Prior to 3.14.1, the server_hostname TLS SNI check can be bypassed when an existing connection is reused.
    If an application makes multiple requests to the same domain, but with different per-request     server_hostname parameters, then the later calls may succeed by reusing the existing connection when they     should have been rejected due to the TLS SNI check. (CVE-2026-54275)

  - Prior to 3.14.1, it is possible to bypass the max_line_size check in parts of an HTTP request in the C     parser. If using the optimised C parser (the default in pre-built wheels), then an attacker may be able to     send oversized lines through the HTTP parser and use an excessive amount of memory, potentially leading to     DoS. (CVE-2026-54277)

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

The remote openSUSE 16 host has a package installed that is affected by multiple vulnerabilities as referenced in the openSUSE-SU-2026:21372-1 advisory.

    This update for python-aiohttp fixes the following issues

    - CVE-2026-50269: improper validation of user-controlled strings allows for CRLF injection in multipart     headers       (bsc#1268398).
    - CVE-2026-54273: no limit in the HTTP/1 pipelined request queue can lead to excessive resource     consumption       (bsc#1268543).
    - CVE-2026-54274: incomplete websocket frame payloads can bypass memory use limits and cause a DoS via     excessive       resource consumption (bsc#1268544).
    - CVE-2026-54275: `server_hostname` TLS SNI check bypass when an existing connection is reused     (bsc#1268549).
    - CVE-2026-54277: `max_line_size` bypass when using the optimised C HTTP parser can lead to excessive     resource       consumption (bsc#1268556).
    - CVE-2026-54278: unread compressed request bodies can bypass `client_max_size` during cleanup and cause a     DoS       (bsc#1268559).
    - CVE-2026-54279: host-only cookies become domain cookies after `CookieJar` persistence (bsc#1268560).
    - CVE-2026-54280: payload resources are not closed correctly when a client disconnects in the middle of a     write and       can cause resource starvation (bsc#1268561).

Tenable has extracted the preceding description block directly from the SUSE security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
443243	SCA: security update for aiohttp (GHSA-4m7w-qmgq-4wj5)	Tenable Cloud Security	SCA Checks	2026/6/16	2026/8/7	medium
463523	Echo: python-aiohttp: security update to 3.14.1	Tenable Cloud Security	Echo Local Security Checks	2026/10/2	2026/10/16	medium
443243	SCA: security update for aiohttp (GHSA-4m7w-qmgq-4wj5)	Tenable Self-Hosted Container Security	SCA Checks	2026/6/16	2026/8/7	medium
463523	Echo: python-aiohttp: security update to 3.14.1	Tenable Self-Hosted Container Security	Echo Local Security Checks	2026/10/2	2026/10/16	medium
322135	Linux Distros 未修補弱點：CVE-2026-54275	Nessus	Misc.	2026/6/22	2026/10/2	medium
324958	Python Library aiohttp < 3.14.1 多個弱點	Nessus	Misc.	2026/7/3	2026/7/7	high
324958	Python Library aiohttp < 3.14.1 多个漏洞	Nessus	Misc.	2026/7/3	2026/7/7	high
322135	Linux Distros 未修补的漏洞：CVE-2026-54275	Nessus	Misc.	2026/6/22	2026/10/2	medium
329282	SUSE SLES15 セキュリティ更新:python-aiohttp(SUSE-SU-2026:3208-1)	Nessus	SuSE Local Security Checks	2026/7/24	2026/7/24	high
329280	SUSE SLED15 / SLES15 セキュリティ更新:python-aiohttp(SUSE-SU-2026:3207-1)	Nessus	SuSE Local Security Checks	2026/7/24	2026/9/18	high
324958	Python Library aiohttp < 3.14.1 の複数の脆弱性	Nessus	Misc.	2026/7/3	2026/7/7	high
322135	Linux Distros のパッチ未適用の脆弱性: CVE-2026-54275	Nessus	Misc.	2026/6/22	2026/10/2	medium
328918	openSUSE 16 セキュリティ更新:python-aiohttp(openSUSE-SU-2026:21372-1)	Nessus	SuSE Local Security Checks	2026/7/22	2026/7/22	high
329282	SUSE SLES15 Security Update : python-aiohttp (SUSE-SU-2026:3208-1)	Nessus	SuSE Local Security Checks	2026/7/24	2026/7/24	high
329280	SUSE SLED15 / SLES15 Security Update : python-aiohttp (SUSE-SU-2026:3207-1)	Nessus	SuSE Local Security Checks	2026/7/24	2026/9/18	high
322135	Linux Distros Unpatched Vulnerability : CVE-2026-54275	Nessus	Misc.	2026/6/22	2026/10/2	medium
324958	Python Library aiohttp < 3.14.1 Multiple Vulnerabilities	Nessus	Misc.	2026/7/3	2026/7/7	high
328918	openSUSE 16 Security Update : python-aiohttp (openSUSE-SU-2026:21372-1)	Nessus	SuSE Local Security Checks	2026/7/22	2026/7/22	high

检测

插件搜索

medium

medium

medium

medium

medium

high

high

medium

high

high

high

medium

high

high

high

medium

high

high