远程 Debian 13 主机上存在安装的程序包，该程序包受到 dsa-6366 公告中提及的多个漏洞的影响。

    - ------------------------------------------------------------------------- Debian 安全公告 security@debian.org DSA-6366-1https://www.debian.org/security/Moritz Muehlenhoff 2026 年 6 月 25 日 https://www.debian.org/security/faq
    - -------------------------------------------------------------------------

    程序包：sogo CVE ID： CVE-2025-71276 CVE-2026-3054 CVE-2026-8496 CVE-2026-8851 CVE-2026-33550 CVE-2026-46445 CVE-2026-46446

    SOGo groupware 服务器中发现多个安全漏洞，可能会造成跨站脚本或 SQL 注入。

    对于稳定发行版本 （trixie），已在版本 5.12.1-3+deb13u2 中修复这些问题。

    我们建议您升级 sogo 程序包。

    有关 sogo 的详细安全状态，请参阅其安全跟踪页面：
    https://security-tracker.debian.org/tracker/sogo

    有关 Debian 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://www.debian.org/security/

    邮件列表：debian-security-announce@lists.debian.org

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - Alinto SOGo 版本 5.12.7中存在一个跨站脚本 （XSS） 漏洞。恶意构建的 ICS 日历邀请文件允许在经认证的 SOGo webmail 会话中执行任意 JavaScript。出现该问题的原因是，具有 onrepeat 事件处理程序的 ICS 文件描述字段中嵌入的 SVG 内容在 webmail 界面中呈现之前未得到充分的审查。查看恶意日历邀请时，远程攻击者可在受害者的浏览器中执行 JavaScript。成功利用可能允许邮箱访问、电子邮件和联系人窃取、会话劫持以及经过认证的用户允许进行的其他操作。（CVE-2026-8496）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

远程 Debian 11 主机上安装的程序包受到 DLA-4657 公告中提及的多个漏洞的影响。

    - ------------------------------------------------------------------------- Debian LTS 公告 debian-lts@lists.debian.org DLA-4657-1 Lamb 2026 https://www.debian.org/lts/security/Chris 年 6 月 29 日 https://wiki.debian.org/LTS
    - -------------------------------------------------------------------------

    程序包：sogo 版本：5.8.0-2+deb12u3 CVE ID： CVE-2026-46445 CVE-2026-46446 CVE-2025-71276 CVE-2026-33550 CVE-2026-8496 CVE-2026-8851 Debian 缺陷：1131605 1131606

    开源 webmail 和 groupware 服务器 sogo 中发现多个漏洞：

    * CVE-2026-46445：将 PostgreSQL 用作用户数据库时的 SQL 注入漏洞。

    * CVE-2026-46446：解决了将 MariaDB 或 PostgreSQL 用作用户数据库且以明文存储密码时的 SQL 注入漏洞。

    * CVE-2025-71276：修复事件、任务和联系人类别中的跨站脚本 （XSS） 漏洞。

    * CVE-2026-33550：解决多个基于时间的一次性密码 （TOTP） 漏洞，包括用户禁用/启用 TOTP、多种值不会更新以及有关建议 TOTP 长度的问题。

    * CVE-2026-8496：修复恶意构建的 .ICS 日历邀请文件允许在经认证的 webmail 会话中执行任意 JavaScript。

    * CVE-2026-8851：修复访问控制列表管理功能中的 SQL 注入漏洞，该漏洞可允许经认证的用户通过 addUserInAcls 端点的 uid 参数注入 SQL 子查询，从数据库中提取任意数据。

    此外，还添加了一个修补程序以修复消息主题渲染中的跨站脚本 （XSS） 漏洞。

    对于 Debian 11 bullseye，这些问题已在 5.8.0-2+deb12u3 版本中修复。

    我们建议您升级 sogo 程序包。

    感谢 Peter Wienemann <wiene@debian.org> 准备此更新。

    有关 sogo 的详细安全状态，请参阅其安全跟踪页面：
    https://security-tracker.debian.org/tracker/sogo

    有关 Debian LTS 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://wiki.debian.org/LTS

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Ubuntu 16.04 LTS/18.04 LTS/20.04 LTS/22.04 LTS/26.04 LTS 主机上安装的多个程序包受到公告 USN-8504-1 中提及的多个漏洞影响。

    已发现 SOGo 未正确审查用于事件、任务和联系人的类别。经认证的远程攻击者可能利用此问题执行跨站脚本攻击。此问题仅影响 Ubuntu 18.04 LTS、Ubuntu 20.04 LTS、Ubuntu 22.04 LTS 和 Ubuntu 26.04 LTS。
    (CVE-2025-71276)

    已发现 SOGo 未正确审查提示查询参数。远程攻击者可能利用此问题执行跨站脚本攻击。此问题仅影响 Ubuntu 26.04 LTS。(CVE-2026-3054)

    SOGo 中发现，当用户禁用和重新启用一次性密码时，SOGo 不会续订该密码，而且使用的长度比建议的长度短。远程攻击者可能利用此问题绕过身份验证。此问题仅影响 Ubuntu 22.04 LTS 和 Ubuntu 26.04 LTS。(CVE-2026-33550)

    已发现 SOGo 未正确针对用户源使用 SQL 适配器，导致使用某些数据库时发生 SQL 注入。经过认证的远程攻击者可能利用此问题获取敏感信息或执行任意 SQL 命令。（CVE-2026-46445， CVE-2026-46446）

    已发现 SOGo 未正确审查包含 ICS 日历邀请的邮件。远程攻击者可能利用此问题执行跨站脚本攻击。此问题仅影响 Ubuntu 26.04 LTS。(CVE-2026-8496)

    发现 SOGo 在管理访问控制列表时未能正确验证标识符。经认证的远程攻击者可能利用此问题执行 SQL 注入攻击并获取敏感信息。（CVE-2026-8851）

    已发现 SOGo 未正确审查主题参数。远程攻击者可能利用此问题执行跨站脚本攻击。此问题只影响 Ubuntu 18.04 LTS、Ubuntu 20.04 LTS 和 Ubuntu 22.04 LTS。(CVE-2025-63499)

    已发现 SOGo 未正确审查登录页面上的 userName 参数。远程攻击者可能利用此问题执行跨站脚本攻击。此问题仅影响 Ubuntu 16.04 LTS、Ubuntu 18.04 LTS、Ubuntu 20.04 LTS 和 Ubuntu 22.04 LTS。(CVE-2025-63498)

    已发现 SOGo 在预览附件时未对其进行正确审查。远程攻击者可能利用此问题执行跨站脚本攻击。此问题仅影响 Ubuntu 16.04 LTS、Ubuntu 18.04 LTS、Ubuntu 20.04 LTS 和 Ubuntu 22.04 LTS。(CVE-2024-34462)

    已发现在将 SAML 用于身份验证时，SOGo 未验证其收到的 SAML 断言的签名。远程攻击者可利用此问题冒充其他用户。此问题只影响 Ubuntu 16.04 LTS、Ubuntu 18.04 LTS 和 Ubuntu 20.04 LTS。(CVE-2021-33054)

Tenable 已直接从 Ubuntu 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
323061	Debian DSA-6366：sogo - 安全更新	Nessus	Debian Local Security Checks	2026/6/26	2026/7/21	high
314652	Linux Distros 未修补的漏洞：CVE-2026-8496	Nessus	Misc.	2026/5/14	2026/7/7	medium
323707	Debian DLA-4657：sogo - 安全更新	Nessus	Debian Local Security Checks	2026/6/29	2026/6/29	high
325422	Ubuntu 16.04 LTS / 18.04 LTS / 20.04 LTS / 22.04 LTS / 26.04 LTS：SOGo 漏洞（USN-8504-1）	Nessus	Ubuntu Local Security Checks	2026/7/7	2026/7/7	high

检测

插件搜索

high

medium

high

high