There are packages installed that are affected by a vulnerability referenced in the following CVE:

  - Synapse is a Matrix protocol homeserver written in Python with the Twisted framework. In affected versions
    it may be possible for a deactivated user to login when using uncommon configurations. This only applies
    if any of the following are true: 1. JSON Web Tokens are enabled for login via the `jwt_config.enabled`
    configuration setting. 2. The local password database is enabled via the `password_config.enabled` and
    `password_config.localdb_enabled` configuration settings *and* a user's password is updated via an admin
    API after a user is deactivated. Note that the local password database is enabled by default, but it is
    uncommon to set a user's password after they've been deactivated. Installations that are configured to
    only allow login via Single Sign-On (SSO) via CAS, SAML or OpenID Connect (OIDC); or via an external
    password provider (e.g. LDAP) are not affected. If not using JSON Web Tokens, ensure that deactivated
    users do not have a password set. This issue has been addressed in version 1.85.0. Users are advised to
    upgrade. (CVE-2023-32682)

There are packages installed that are affected by multiple vulnerabilities referenced in the following CVEs:

  - Synapse is a Matrix protocol homeserver written in Python with the Twisted framework. In affected versions
    it may be possible for a deactivated user to login when using uncommon configurations. This only applies
    if any of the following are true: 1. JSON Web Tokens are enabled for login via the `jwt_config.enabled`
    configuration setting. 2. The local password database is enabled via the `password_config.enabled` and
    `password_config.localdb_enabled` configuration settings *and* a user's password is updated via an admin
    API after a user is deactivated. Note that the local password database is enabled by default, but it is
    uncommon to set a user's password after they've been deactivated. Installations that are configured to
    only allow login via Single Sign-On (SSO) via CAS, SAML or OpenID Connect (OIDC); or via an external
    password provider (e.g. LDAP) are not affected. If not using JSON Web Tokens, ensure that deactivated
    users do not have a password set. This issue has been addressed in version 1.85.0. Users are advised to
    upgrade. (CVE-2023-32682)

  - Synapse is a Matrix protocol homeserver written in Python with the Twisted framework. A discovered oEmbed
    or image URL can bypass the `url_preview_url_blacklist` setting potentially allowing server side request
    forgery or bypassing network policies. Impact is limited to IP addresses allowed by the
    `url_preview_ip_range_blacklist` setting (by default this only allows public IPs) and by the limited
    information returned to the client: 1. For discovered oEmbed URLs, any non-JSON response or a JSON
    response which includes non-oEmbed information is discarded. 2. For discovered image URLs, any non-image
    response is discarded. Systems which have URL preview disabled (via the `url_preview_enabled` setting) or
    have not configured a `url_preview_url_blacklist` are not affected. This issue has been addressed in
    version 1.85.0. Users are advised to upgrade. User unable to upgrade may also disable URL previews.
    (CVE-2023-32683)

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - Synapse 是使用 Python 借助 Twisted 框架编写的 Matrix 协议 homeserver。在受影响的版本中停用的用户可能会在使用不常见的配置时登录。这仅在满足以下任一条件时适用1. 通过 `jwt_config.enabled` 配置设置启用 JSON Web Token 用于登录。 2. 通过 `password_config.enabled` 和 `password_config.localdb_enabled` 配置设置启用本地密码数据库*和*在停用用户后通过 admin API 更新用户的密码。请注意本地密码数据库会默认启用但在用户停用后再设置其密码的情况则不常见。配置为仅允许通过 CAS、SAML 或 OpenID Connect (OIDC) 通过单点登录 (SSO) 登录的安装或通过外部密码提供程序（例如 LDAP）执行的 或 操作不受影响。如果不使用 JSON Web 标记，请确保没有为已停用的用户设置密码。此问题已在 1.85.0 版中解决。建议用户进行升级。(CVE-2023-32682)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且廠商未提供可用的修補程式。

  - Synapse 是一種以 Python 撰寫且具有 Twisted 架構的 Matrix 通訊協定主伺服器。在受影響的版本中停用的使用者可能使用不常見的組態登入。這僅在下列任一條件成立時適用：1. 已透過 `jwt_config.enabled` 組態設定為登入啟用 JSON Web Token。 2. 已透過 `password_config.enabled` 和 `password_config.localdb_enabled` 組態設定啟用本機密碼資料庫*且* 使用者的密碼會在停用使用者後透過 admin API 更新。請注意本機密碼資料庫預設為啟用但在停用使用者密碼之後設定使用者的密碼並不常見。設定為僅允許透過 CAS、SAML 或 OpenID Connect (OIDC) 單一登入 (SSO) 登入的安裝或透過外部密碼供應商 (例如 LDAP) 的情況不會受到影響。若未使用 JSON Web Tokens請確認已停用的使用者未設定密碼。此問題已在 1.85.0 版中解決。建議使用者進行升級。(CVE-2023-32682)

請注意，Nessus 依賴供應商報告的套件存在。

リモートの Fedora 38 ホストには、FEDORA-2023-56760afca8 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

  - Synapse は、Twisted フレームワークを使って Python で書かれた Matrix プロトコルのホームサーバーです。発見された oEmbed または画像 URL は、「url_preview_url_blacklist」設定をバイパスし、サーバー側のリクエスト偽造やネットワークポリシーをバイパスできる可能性があります。影響は「url_preview_ip_range_blacklist」設定 (デフォルトではパブリック IP のみを許可) およびクライアントに返される限られた情報によって許可されている IP アドレスに制限されています。1. 発見された oEmbed URL については、非 JSON 応答または非 oEmbed 情報を含む JSON 応答は破棄されます。2. 発見された画像 URL については、画像以外の応答は破棄されます。URL プレビューが無効になっている (「url_preview_enabled」設定を介して) システム、または「url_preview_url_blacklist」を設定していないシステムは影響を受けません。この問題は、バージョン 1.85.0で対処されています。ユーザーにアップグレードすることを推奨します。ユーザーがアップグレードできない場合、URL プレビューも無効になる可能性があります。
    (CVE-2023-32683)

  - Synapse は、Twisted フレームワークを使って Python で書かれた Matrix プロトコルのホームサーバーです。影響を受けるバージョンでは、一般的でない設定を使用している場合、無効化されたユーザーがログインできる可能性があります。これは、次のいずれかに該当する場合にのみ適用されます。1. JSON Web Token は、「jwt_config.enabled」構成設定を介してログインに対して有効になります。2. ローカルパスワードデータベースは、「password_config.enabled」および「password_config.localdb_enabled」構成設定を介して有効化されます。*そして*、ユーザーのパスワードは、ユーザーが無効化された後に管理 API を介して更新されます。ローカルパスワードデータベースはデフォルトで有効になっていますが、無効化した後にユーザーのパスワードを設定することは一般的ではありません。CAS、SAML、OpenID Connect (OIDC) を介したシングルサインオン (SSO)、または外部のパスワードプロバイダー (例: LDAP) を介したログインのみを許可するように設定されているインストールは、影響を受けません。JSON Web Token を使用していない場合は、無効化されたユーザーにパスワードが設定されていないことを確認してください。この問題は、バージョン 1.85.0で対処されています。ユーザーにアップグレードすることを推奨します。(CVE-2023-32682)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - Synapse は、Twisted フレームワークを使って Python で書かれた Matrix プロトコルのホームサーバーです。影響を受けるバージョンでは、一般的でない設定を使用している場合、無効化されたユーザーがログインできる可能性があります。これは次のいずれかが真である場合にのみ適用されます。1. JSON Web トークンが「jwt_config.enabled」構成設定でログインに対して有効になっている。 2. ローカルのパスワードデータベースは、「password_config.enabled」および「password_config.localdb_enabled」構成設定を介して有効化されます。*および* ユーザーのパスワードは、ユーザーが無効化された後に管理 API 経由で更新されます。ローカルパスワードデータベースはデフォルトで有効になっていますが、無効化した後にユーザーのパスワードを設定することは一般的ではありません。CAS、SAML、OpenID Connect (OIDC) を介したシングルサインオン (SSO)、または外部のパスワードプロバイダー (例: LDAP) を介したログインのみを許可するように設定されているインストールは、影響を受けません。JSON Web Token を使用していない場合は、無効化されたユーザーにパスワードが設定されていないことを確認してください。この問題は、バージョン 1.85.0で対処されています。ユーザーにアップグレードすることを推奨します。(CVE-2023-32682)

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

The remote Fedora 38 host has a package installed that is affected by multiple vulnerabilities as referenced in the FEDORA-2023-56760afca8 advisory.

    Update to v1.85.2

    ----

    Update to v1.85.1

    ----

    Update to v1.85.0     Fixes CVE-2023-32682, CVE-2023-32683

    ----

    Update to v1.84.1


Tenable has extracted the preceding description block directly from the Fedora security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

The Linux/Unix host has one or more packages installed that are impacted by a vulnerability without a vendor supplied patch available.

  - Synapse is a Matrix protocol homeserver written in Python with the Twisted framework. In affected versions     it may be possible for a deactivated user to login when using uncommon configurations. This only applies     if any of the following are true: 1. JSON Web Tokens are enabled for login via the `jwt_config.enabled`     configuration setting. 2. The local password database is enabled via the `password_config.enabled` and     `password_config.localdb_enabled` configuration settings *and* a user's password is updated via an admin     API after a user is deactivated. Note that the local password database is enabled by default, but it is     uncommon to set a user's password after they've been deactivated. Installations that are configured to     only allow login via Single Sign-On (SSO) via CAS, SAML or OpenID Connect (OIDC); or via an external     password provider (e.g. LDAP) are not affected. If not using JSON Web Tokens, ensure that deactivated     users do not have a password set. This issue has been addressed in version 1.85.0. Users are advised to     upgrade. (CVE-2023-32682)

Note that Nessus relies on the presence of the package as reported by the vendor.

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
408733	SCA: security update for matrix-synapse (GHSA-26c5-ppr8-f33p)	Tenable Self-Hosted Container Security	SCA Checks	2025/1/23	2026/7/2	medium
426533	Alpine: multiple synapse packages: security update to 1.85.1-r0	Tenable Cloud Security	Alpine Linux Local Security Checks	2025/5/16	2026/7/2	medium
408733	SCA: security update for matrix-synapse (GHSA-26c5-ppr8-f33p)	Tenable Cloud Security	SCA Checks	2025/1/23	2026/7/2	medium
426533	Alpine: multiple synapse packages: security update to 1.85.1-r0	Tenable Self-Hosted Container Security	Alpine Linux Local Security Checks	2025/5/16	2026/7/2	medium
256419	Linux Distros 未修补的漏洞：CVE-2023-32682	Nessus	Misc.	2025/8/27	2026/7/13	medium
256419	Linux Distros 未修補的弱點：CVE-2023-32682	Nessus	Misc.	2025/8/27	2026/7/13	medium
177402	Fedora 38 : matrix-synapse (2023-56760afca8)	Nessus	Fedora Local Security Checks	2023/6/16	2024/11/14	medium
256419	Linux Distros のパッチ未適用の脆弱性: CVE-2023-32682	Nessus	Misc.	2025/8/27	2026/7/13	medium
177402	Fedora 38 : matrix-synapse (2023-56760afca8)	Nessus	Fedora Local Security Checks	2023/6/16	2024/11/14	medium
256419	Linux Distros Unpatched Vulnerability : CVE-2023-32682	Nessus	Misc.	2025/8/27	2026/7/13	medium

检测

插件搜索

medium

medium

medium

medium

medium

medium

medium

medium

medium

medium