远程主机上安装的 batik 版本低于 1.8-0.12.svn1230816。因此，它受到 ALAS2-2023-1966 公告中提及的多个漏洞影响。

  - Apache Batik 1.13 版容易受到由 NodePickerPanel 不当输入验证造成的服务器端请求伪造漏洞的影响。通过使用特制的参数，攻击者可利用此漏洞导致底层服务器发出任意 GET 请求。(CVE-2020-11987)

  - Apache XML Graphics 的 Batik 中的服务器端请求伪造 (SSRF) 漏洞允许攻击者通过 jar 协议加载 URL。此问题影响 Apache XML Graphics Batik 1.14 版。(CVE-2022-38398)

  - Apache XML Graphics 的 Batik 中的服务器端请求伪造 (SSRF) 漏洞允许攻击者获取外部资源。此问题影响 Apache XML Graphics Batik 1.14 版。(CVE-2022-38648)

  - Apache XML Graphics 的 Batik 中的服务器端请求伪造 (SSRF) 漏洞允许攻击者使用 jar URL 访问文件。此问题影响 Apache XML Graphics Batik 1.14 版。(CVE-2022-40146)

  - Apache XML Graphics 的 Batik 中有一个漏洞，允许攻击者使用 SVG 运行不受信任的 Java 代码。
    此问题影响版本低于 1.16 的 Apache XML Graphics。建议更新到版本 1.16。
    (CVE-2022-41704)

  - Apache XML Graphics 的 Batik 中有一个漏洞，允许攻击者通过 JavaScript 使用不受信任的 SVG 运行 Java 代码。此问题影响版本低于 1.16 的 Apache XML Graphics。建议用户升级到版本 1.16。(CVE-2022-42890)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Ubuntu 16.04 ESM/18.04 LTS/20.04 LTS/22.04 LTS 主机上安装的一个程序包受到 USN-6117-1 公告中提及的多个漏洞影响。

  - Apache Batik 容易受到由 xlink: href 不当输入验证造成的服务器端请求伪造漏洞的影响。通过使用特制的参数，攻击者可利用此漏洞导致底层服务器发出任意 GET 请求。(CVE-2019-17566)

  - Apache Batik 1.13 版容易受到由 NodePickerPanel 不当输入验证造成的服务器端请求伪造漏洞的影响。通过使用特制的参数，攻击者可利用此漏洞导致底层服务器发出任意 GET 请求。(CVE-2020-11987)

  - Apache XML Graphics 的 Batik 中的服务器端请求伪造 (SSRF) 漏洞允许攻击者通过 jar 协议加载 URL。此问题影响 Apache XML Graphics Batik 1.14 版。(CVE-2022-38398)

  - Apache XML Graphics 的 Batik 中的服务器端请求伪造 (SSRF) 漏洞允许攻击者获取外部资源。此问题影响 Apache XML Graphics Batik 1.14 版。(CVE-2022-38648)

  - Apache XML Graphics 的 Batik 中的服务器端请求伪造 (SSRF) 漏洞允许攻击者使用 jar URL 访问文件。此问题影响 Apache XML Graphics Batik 1.14 版。(CVE-2022-40146)

  - Apache XML Graphics 的 Batik 中有一个漏洞，允许攻击者使用 SVG 运行不受信任的 Java 代码。
    此问题影响版本低于 1.16 的 Apache XML Graphics。建议更新到版本 1.16。
    (CVE-2022-41704)

  - Apache XML Graphics 的 Batik 中有一个漏洞，允许攻击者通过 JavaScript 使用不受信任的 SVG 运行 Java 代码。此问题影响版本低于 1.16 的 Apache XML Graphics。建议用户升级到版本 1.16。(CVE-2022-42890)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程主机受到 GLSA-202401-11 中所述漏洞的影响（Apache Batik：多个漏洞）

  - 在 1.x 至 1.10 的 Apache Batik 中，对“AbstractDocument”的子类执行反序列化时，该类使用 inputStream 中的字符串作为类名称，然后该名称被用于调用类的无参数构造函数。已通过在反序列化中调用 newInstance 之前检查类类型进行修复。(CVE-2018-8013)

  - Apache Batik 容易受到由 xlink: href 不当输入验证造成的服务器端请求伪造漏洞的影响。通过使用特制的参数，攻击者可利用此漏洞导致底层服务器发出任意 GET 请求。(CVE-2019-17566)

  - Apache Batik 1.13 版容易受到由 NodePickerPanel 不当输入验证造成的服务器端请求伪造漏洞的影响。通过使用特制的参数，攻击者可利用此漏洞导致底层服务器发出任意 GET 请求。(CVE-2020-11987)

  - Apache XML Graphics 的 Batik 中的服务器端请求伪造 (SSRF) 漏洞允许攻击者通过 jar 协议加载 URL。此问题影响 Apache XML Graphics Batik 1.14 版。(CVE-2022-38398)

  - Apache XML Graphics 的 Batik 中的服务器端请求伪造 (SSRF) 漏洞允许攻击者获取外部资源。此问题影响 Apache XML Graphics Batik 1.14 版。(CVE-2022-38648)

  - Apache XML Graphics 的 Batik 中的服务器端请求伪造 (SSRF) 漏洞允许攻击者使用 jar URL 访问文件。此问题影响 Apache XML Graphics Batik 1.14 版。(CVE-2022-40146)

  - Apache XML Graphics 的 Batik 中有一个漏洞，允许攻击者使用 SVG 运行不受信任的 Java 代码。
    此问题影响版本低于 1.16 的 Apache XML Graphics。建议更新到版本 1.16。
    (CVE-2022-41704)

  - Apache XML Graphics 的 Batik 中有一个漏洞，允许攻击者通过 JavaScript 使用不受信任的 SVG 运行 Java 代码。此问题影响版本低于 1.16 的 Apache XML Graphics。建议用户升级到版本 1.16。(CVE-2022-42890)

  - Apache Software Foundation Apache XML Graphics Batik 中存在服务器端请求伪造 (SSRF) 漏洞。此问题影响 Apache XML Graphics Batik:1.16。在版本 1.16 中，恶意 SVG 可能会默认触发加载外部资源，从而导致资源消耗，甚至在某些情况下造成信息泄露。建议用户升级到 1.17 或更高版本。(CVE-2022-44729)

  - Apache Software Foundation Apache XML Graphics Batik 中存在服务器端请求伪造 (SSRF) 漏洞。此问题影响 Apache XML Graphics Batik:1.16。恶意 SVG 可以探测用户配置文件/数据，并将其作为参数直接发送到 URL。(CVE-2022-44730)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Debian 10 主机上安装的程序包受到 dla-3619 公告中提及的多个漏洞影响。

  - Apache Batik 1.13 版容易受到由 NodePickerPanel 不当输入验证造成的服务器端请求伪造漏洞的影响。通过使用特制的参数，攻击者可利用此漏洞导致底层服务器发出任意 GET 请求。(CVE-2020-11987)

  - Apache XML Graphics 的 Batik 中的服务器端请求伪造 (SSRF) 漏洞允许攻击者通过 jar 协议加载 URL。此问题影响 Apache XML Graphics Batik 1.14 版。(CVE-2022-38398)

  - Apache XML Graphics 的 Batik 中的服务器端请求伪造 (SSRF) 漏洞允许攻击者获取外部资源。此问题影响 Apache XML Graphics Batik 1.14 版。(CVE-2022-38648)

  - Apache XML Graphics 的 Batik 中的服务器端请求伪造 (SSRF) 漏洞允许攻击者使用 jar URL 访问文件。此问题影响 Apache XML Graphics Batik 1.14 版。(CVE-2022-40146)

  - Apache Software Foundation Apache XML Graphics Batik 中存在服务器端请求伪造 (SSRF) 漏洞。此问题影响 Apache XML Graphics Batik:1.16。在版本 1.16 中，恶意 SVG 可能会默认触发加载外部资源，从而导致资源消耗，甚至在某些情况下造成信息泄露。建议用户升级到 1.17 或更高版本。(CVE-2022-44729)

  - Apache Software Foundation Apache XML Graphics Batik 中存在服务器端请求伪造 (SSRF) 漏洞。此问题影响 Apache XML Graphics Batik:1.16。恶意 SVG 可以探测用户配置文件/数据，并将其作为参数直接发送到 URL。(CVE-2022-44730)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Debian 11 主机上存在安装的程序包该程序包受到 dla-4243 公告中提及的多个漏洞的影响。

    - ------------------------------------------------- ------------------------ Debian LTS 公告 DLA-4243-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Adrian Bunk 2025 年 7 月 20 日 https://wiki.debian.org/LTS
    - -------------------------------------------------------------------------

    程序包batik 版本1.12-4+deb11u3 CVE ID CVE-2020-11987 CVE-2022-38398 CVE-2022-38648 CVE-2022-40146 Debian 缺陷9848291020589

    Batik SVG toolkit for Java 中已修复多种服务器端请求伪造情况。

    对于 Debian 11 Bullseye这些问题已在 1.12-4+deb11u3 版本中修复。

    建议您升级 batik 程序包。

    有关 batik 的详细安全状态请参阅其安全跟踪页面网址
    https://security-tracker.debian.org/tracker/batik

    有关 Debian LTS 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://wiki.debian.org/LTS

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程主机上安装的 batik 版本低于 1.7-10.10。因此，它受到 ALAS-2023-1695 公告中提及的多个漏洞影响。

  - Apache Batik 1.13 版容易受到由 NodePickerPanel 不当输入验证造成的服务器端请求伪造漏洞的影响。通过使用特制的参数，攻击者可利用此漏洞导致底层服务器发出任意 GET 请求。(CVE-2020-11987)

  - Apache XML Graphics 的 Batik 中的服务器端请求伪造 (SSRF) 漏洞允许攻击者通过 jar 协议加载 URL。此问题影响 Apache XML Graphics Batik 1.14 版。(CVE-2022-38398)

  - Apache XML Graphics 的 Batik 中的服务器端请求伪造 (SSRF) 漏洞允许攻击者获取外部资源。此问题影响 Apache XML Graphics Batik 1.14 版。(CVE-2022-38648)

  - Apache XML Graphics 的 Batik 中的服务器端请求伪造 (SSRF) 漏洞允许攻击者使用 jar URL 访问文件。此问题影响 Apache XML Graphics Batik 1.14 版。(CVE-2022-40146)

  - Apache XML Graphics 的 Batik 中有一个漏洞，允许攻击者使用 SVG 运行不受信任的 Java 代码。
    此问题影响版本低于 1.16 的 Apache XML Graphics。建议更新到版本 1.16。
    (CVE-2022-41704)

  - Apache XML Graphics 的 Batik 中有一个漏洞，允许攻击者通过 JavaScript 使用不受信任的 SVG 运行 Java 代码。此问题影响版本低于 1.16 的 Apache XML Graphics。建议用户升级到版本 1.16。(CVE-2022-42890)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - Apache XML Graphics 的 Batik 中的服务器端请求伪造 (SSRF) 漏洞允许攻击者通过 jar 协议加载 URL。此问题影响 Apache XML Graphics Batik 1.14 版。(CVE-2022-38398)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
172170	Amazon Linux 2：batik (ALAS-2023-1966)	Nessus	Amazon Linux Local Security Checks	2023/3/7	2024/12/11	high
176489	Ubuntu 16.04 ESM / 18.04 LTS / 20.04 LTS / 22.04 LTS：Apache Batik 漏洞 (USN-6117-1)	Nessus	Ubuntu Local Security Checks	2023/5/30	2024/8/28	high
187730	GLSA-202401-11：Apache Batik：多个漏洞	Nessus	Gentoo Local Security Checks	2024/1/9	2024/1/9	critical
183091	Debian DLA-3619-1：batik - LTS 安全更新	Nessus	Debian Local Security Checks	2023/10/14	2025/1/22	high
242417	Debian dla-4243libbatik-java - 安全更新	Nessus	Debian Local Security Checks	2025/7/21	2025/7/22	high
172184	Amazon Linux AMI：batik (ALAS-2023-1695)	Nessus	Amazon Linux Local Security Checks	2023/3/7	2024/12/11	high
224814	Linux Distros 未修补的漏洞: CVE-2022-38398	Nessus	Misc.	2025/3/5	2025/8/27	medium

检测

插件搜索

high

high

critical

high

high

high

medium