Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - ESAPI (OWASP Enterprise Security API) 是一个免费的开源 Web 应用程序安全控件库。在版本 2.3.0.0之前的版本中，ESAPI 中可能存在跨站脚本漏洞，**antisamy-esapi.xml** 配置文件中 onsiteURL 的错误正则表达式可能会造成此漏洞，进而造成 javascript: URL 无法执行正确审查。此问题已在 ESAPI 2.3.0.0中得到修补。变通方案为，手动编辑 **antisamy-esapi.xml** 配置文件以更改 onsiteURL 正则表达式。有关此漏洞的修复的更多信息（包括变通方案），请参阅维护者的发行说明和安全公告。 (CVE-2022-24891)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

远程 Debian 11 主机上存在安装的程序包该程序包受到 dla-4246 公告中提及的多个漏洞的影响。

    -------------------------------------------------- ----------------------- Debian LTS 公告 DLA-4246-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Markus Koschany 2025 年 7 月 22 日 https://wiki.debian.org/LTS-------------------------------------------------------------------------

    程序包libowasp-esapi-java 版本2.4.0.0-0+deb11u1 CVE ID CVE-2022-23457 CVE-2022-24891 CVE-2025-5878 Debian 缺陷10103391109378

    在 libowasp-esapi-java一种 Java Enterprise Security API 中发现数个安全漏洞。

    CVE-2022-23457:

        ESAPI (OWASP Enterprise Security API) 是一个免费的开源 Web 应用程序安全控件库。在此更新之前“Validator.getValidDirectoryPath(String, String, File, boolean)”的默认实现可能错误地将测试的输入字符串视为指定父目录的子目录。如果攻击可以指定表示“输入”路径的完整字符串则其可能允许控制流绕过检查遭到破坏。

    CVE-2022-24891:

        在 ESAPI 中可能存在跨站脚本漏洞原因是 ESAPI 中 onsiteURL 的错误正则表达式。
        **antisamy-esapi.xml** 配置文件可造成无法正确清理 javascriptURL。

    CVE-2025-5878:

        此问题影响 SQL 注入防御的接口 Encoder.encodeForSQL。攻击导致不正确地无效化特殊元素。我们不知道 Debian 中的任何受影响的反向依存关系但是如果您在独立的项目中使用 ESAPI您应该注意Encoder.encodeForSQL 方法已被弃用并且最终将被删除。此外DB2Codec、MySQLCodec 和 OracleCodec 类也已被弃用。建议仔细评估 项目是否会受到这些类和方法的影响以及是否必须实施其他步骤来保护应用程序。此更新不会自动保护您免受任何潜在风险。

    对于 Debian 11 Bullseye已在 2.4.0.0-0+deb11u1 版本中修复这些问题。

    我们建议您升级 libowasp-esapi-java 程序包。

    有关 libowasp-esapi-java 的详细安全状态请参阅其安全跟踪页面网址
    https://security-tracker.debian.org/tracker/libowasp-esapi-java

    有关 Debian LTS 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://wiki.debian.org/LTSAttachment:signature.ascDescription: 此消息部分已经过数字签署

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程主机上安装的 Oracle Database Server 12.1.0.2、19c、21c、所有受支持版本以及 None 版本受到 2022 年 7 月 CPU 公告中提及的多个漏洞影响。

  - Oracle Database Server 的 Oracle Database Enterprise Edition Sharding 组件中存在漏洞。
    有关受影响的支持版本，请参阅注释。攻击此漏洞的难度较低，具有本地登录权限的低权限攻击者可以借此登录 Oracle Database - Enterprise Edition 执行所在的基础架构，从而入侵 Oracle Database - Enterprise Edition Sharding。虽然该漏洞存在于 Oracle Database - Enterprise Edition Sharding 中，但攻击可能对其他产品造成重大影响（范围更改）。若攻击成功，攻击者可接管 Oracle Database - Enterprise Edition Sharding。(CVE-2022-21510)

  - Oracle Database Server 的 Oracle Database - Enterprise Edition Recovery 组件中存在漏洞。有关受影响的支持版本，请参阅注释。攻击此漏洞的难度较低，具有 EXECUTE ON DBMS_IR.EXECUTESQLSCRIPT 权限和网络访问权限的高权限攻击者可借此通过 Oracle Net 入侵 Oracle Database - Enterprise Edition Recovery 组件。若攻击成功，攻击者可接管 Oracle Database - Enterprise Edition Recovery。注意：受支持的版本均未受到影响。 (CVE-2022-21511)

  - Oracle Database Server 的 Java VM 组件中存在漏洞。受影响的支持版本是 12.1.0.2、19c 和 21c。攻击此漏洞的难度较低，具有网络访问权限和 Create Procedure 特权的低权限攻击者可利用此漏洞通过 Oracle Net 入侵 Java VM。若攻击成功，攻击者可在未经授权的情况下创建、删除或修改关键数据或所有 Java VM 可访问的数据。(CVE-2022-21565)

请注意，Nessus 尚未测试这些问题，而是只依靠应用程序自我报告的版本号进行判断。

远程主机上安装的 Oracle Business Intelligence Enterprise Edition (OAS) 6.4.0.0.0 和 7.0.0.0 版本受到 2023 年 7 月 CPU 公告中提及的一个漏洞影响。 

  - Oracle Analytics 的 Oracle Business Intelligence Enterprise Edition 产品中的漏洞（组件：Analytics Server (Apache Hive)）。支持的版本中受影响的是 6.4.0.0.0、7.0.0.0.0 和  12.2.1.4.0。利用漏洞此漏洞的难度较低，通过 HTTP 访问网络的未经验证的攻击者可以借此入侵 Oracle Business Intelligence Enterprise Edition。成功利用此漏洞进行攻击可导致在未经授权的情况下创建、删除或修改关键数据或所有 Oracle Business Intelligence Enterprise Edition 可访问数据的访问权限，以及未经授权即可访问关键数据或完整访问所有 Oracle Business Intelligence Enterprise Edition 可访问数据。
    (CVE-2018-1282)

  - Oracle Analytics 的 Oracle Business Intelligence Enterprise Edition 产品中的漏洞（组件：Visual Analyzer (jackson-databind)）。支持的版本中受影响的是 6.4.0.0.0 和 7.0.0.0.0。利用漏洞此漏洞的难度较低，通过 HTTP 访问网络的未经验证的攻击者可以借此入侵 Oracle Business Intelligence Enterprise Edition。若攻击成功，攻击者可在未经授权的情况下造成 Oracle Business Intelligence Enterprise Edition 挂起或频繁出现崩溃（完整 DOS）。(CVE-2022-33980)

  - Oracle Analytics 的 Oracle Business Intelligence Enterprise Edition 产品中的漏洞（组件：Visual Analyzer (CKEditor)）。支持的版本中受影响的是 6.4.0.0.0 和 7.0.0.0.0。利用漏洞此漏洞的难度较低，通过 HTTP 访问网络的未经验证的攻击者可以借此入侵 Oracle Business Intelligence Enterprise Edition。若要成功发动攻击，必须与攻击者以外的其他人进行人工交互；虽然该漏洞存在于 Oracle Business Intelligence Enterprise Edition 中，但攻击可能对其他产品造成重大影响（范围更改）。若成功利用此漏洞，攻击者未经授权即可对 Oracle Business Intelligence Enterprise Edition 可访问的部分数据执行更新、插入或删除操作，并且未经授权即可读取 Oracle Business Intelligence Enterprise Edition 可访问数据中的部分数据。(CVE-2023-28439)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程主机上安装的 Oracle Business Intelligence Enterprise Edition 5.9.0.0 和 6.4.0.0 版本受到 2023 年 7 月 CPU 公告中提及的多个漏洞影响。

  - Oracle Analytics 的 BI Publisher 产品中的漏洞（组件：Security (Apache CXF)）。支持的版本中受影响的是 6.4.0.0.0。可轻松利用的漏洞允许未经身份验证的攻击者通过 HTTP 进行网络访问，从而破坏 BI Publisher。成功利用此漏洞进行攻击可导致接管 BI Publisher。(CVE-2022-46364)

  - Oracle Analytics 的 BI Publisher 产品中的漏洞（组件：Development Operations (Snowflake JDBC)）。支持的版本中受影响的是 7.0.0.0.0。可轻松利用的漏洞允许未经身份验证的攻击者通过 HTTP 进行网络访问，从而破坏 BI Publisher。除攻击者以外的他人进行交互是实现成功攻击的必要条件。成功利用此漏洞进行攻击可导致接管 BI Publisher。(CVE-2023-30535)

  - Oracle Analytics 的 BI Publisher 产品中的漏洞（组件：Web Server (Spring Framework)）。
    支持的版本中受影响的是 6.4.0.0.0 和 7.0.0.0.0。可轻松利用的漏洞允许低权限攻击者通过 HTTP 进行网络访问，从而破坏 BI Publisher。若攻击成功，攻击者在未经授权的情况下可造成 BI Publisher 挂起或频繁崩溃（完全 DOS）。(CVE-2023-20861)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
224598	Linux Distros 未修补的漏洞: CVE-2022-24891	Nessus	Misc.	2025/3/5	2025/8/6	medium
242493	Debian dla-4246libowasp-esapi-java - 安全更新	Nessus	Debian Local Security Checks	2025/7/22	2025/7/22	medium
163408	Oracle Database Server（2022 年 7 月 CPU）	Nessus	Databases	2022/7/22	2024/10/31	critical
178710	Oracle Business Intelligence Enterprise Edition (OAS)（2023 年 7 月 CPU）	Nessus	Misc.	2023/7/21	2024/7/19	critical
178712	Oracle Business Intelligence Publisher (OBIEE)（2023 年 7 月 CPU）	Nessus	Misc.	2023/7/21	2024/7/25	critical

检测

插件搜索

medium

medium

critical

critical

critical