There are packages installed that are affected by a vulnerability referenced in the following CVE:

  - SQLFluff is a SQL linter. Prior to version 2.1.2, in environments where untrusted users have access to the
    config files, there is a potential security vulnerability where those users could use the `library_path`
    config value to allow arbitrary python code to be executed via macros. For many users who use SQLFluff in
    the context of an environment where all users already have fairly escalated privileges, this may not be an
    issue - however in larger user bases, or where SQLFluff is bundled into another tool where developers
    still wish to give users access to supply their on rule configuration, this may be an issue. The 2.1.2
    release offers the ability for the `library_path` argument to be overwritten on the command line by using
    the `--library-path` option. This overrides any values provided in the config files and effectively
    prevents this route of attack for users which have access to the config file, but not to the scripts which
    call the SQLFluff CLI directly. A similar option is provided for the Python API, where users also have a
    greater ability to further customise or override configuration as necessary. Unless `library_path` is
    explicitly required, SQLFluff maintainers recommend using the option `--library-path none` when invoking
    SQLFluff which will disable the `library-path` option entirely regardless of the options set in the
    configuration file or via inline config directives. As a workaround, limiting access to - or otherwise
    validating configuration files before they are ingested by SQLFluff will provides a similar effect and
    does not require upgrade. (CVE-2023-36830)

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且供應商未提供可用的修補程式。

  - SQLFluff 是 SQL linter。在 2.1.2版之前，在未受信任的使用者可存取設定檔的環境中，存在一個潛在的安全性弱點，這些使用者可利用 `library_path` 組態值，允許透過巨集執行任意 python 程式碼。對於在所有使用者都已相當提升權限的環境內容中使用 SQLFluff 的許多使用者而言，這可能不是問題，但是在較大的使用者基礎中，或 SQLFluff 隨附於開發人員仍希望授予使用者存取權的另一個工具中若要提供其啟用規則組態，這可能是個問題。 2.1.2 版本提供使用 `--library-path` 選項在命令行上覆寫 `library_path` 引數的功能。這會覆寫設定檔中提供的任何值，並有效防止可存取設定檔 (但無法存取可直接呼叫 SQLFluff CLI 之指令碼) 的使用者遭受此攻擊路由。針對 Python API 提供了一個類似的選項，使用者也可根據需要進一步自訂或覆寫組態。除非明確需要 `library_path`，否則 SQLFluff 維護人員建議在叫用 SQLFluff 時使用選項 `--library-path none`，這將完全停用 `library-path` 選項，無論設定檔中的選項設定為何，或透過內嵌組態指示詞。因應措施為限制對 - 的存取，或在 SQLFluff 擷取設定檔之前加以驗證，可提供類似的效果，且不需要升級。 (CVE-2023-36830)

請注意，Nessus 依賴供應商報告的套件存在。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - SQLFluff 是一个 SQL linter。在低于版本 2.1.2的版本中，在不受信任的用户可访问配置文件的环境中，存在一个潜在的安全漏洞，其中这些用户可以使用“library_path”配置值，允许通过宏执行任意 python 代码。对于在所有用户均已较高权限的环境上下文中使用 SQLFluff 的许多用户而言，这可能不是问题 - 但是在更大的用户群中，或者 SQLFluff 捆绑到开发人员仍然希望为用户提供访问权限的其他工具中式提供其规则配置，这可能会是一个问题。 2.1.2 版本提供使用“--library-path”选项在命令行上覆盖“library_path”参数的功能。这会替代配置文件中提供的任何值，并有效防止有权访问配置文件但无权直接调用 SQLFluff CLI 的脚本的用户发动的攻击途径。为 Python API 提供了类似选项，用户还可以在必要时进一步定制或替代配置。除非明确要求“library_path”，否则 SQLFluff 维护人员建议在调用 SQLFluff 时使用“--library-path none”选项，这样将完全禁用“library-path”选项，而不管配置文件中设置的选项如何或通过内联配置指令进行设置。变通方案中，限制对 版的访问或在配置文件被 SQLFluff 提取之前对其进行验证，将产生类似的效果，且无需升级。 (CVE-2023-36830)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - SQLFluff は SQL リンターです。バージョン 2.1.2より前では、信頼できないユーザーが構成ファイルにアクセスできる環境では、潜在的なセキュリティの脆弱性があり、それらのユーザーが「library_path」構成値を使用して、任意の python コードがマクロで実行される可能性があります。すべてのユーザーがすでにかなり昇格された権限を持っている環境のコンテキストで SQLFluff を使用する多くのユーザーにとって、これは問題ではないかもしれませんが、より大規模なユーザーベースや、開発者がまだユーザーにアクセス権を与えたい別のツールに SQLFluff がバンドルされている場合には、オンルール構成を提供するために、これが問題である可能性があります。 2.1.2 リリースは、`--library-path` オプションを使用することで、コマンドラインで「library_path」引数を上書きする機能を提供しています。これにより、構成ファイルで指定された値が上書きされ、構成ファイルにはアクセスできるがSQLFluff CLIを直接呼び出すスクリプトにはアクセスできないユーザーに対するこの攻撃経路の攻撃を効果的に防止できます。同様のオプションが Python API に対しても提供されており、ユーザーは必要に応じて構成をさらにカスタマイズしたりオーバーライドしたりすることができます。「library_path」が明示的に必要でない限り、SQLFluffのメンテナーは、構成ファイルで設定されているオプションに関係なく、またはインライン構成ディレクティブを介して、「library-path」オプションを完全に無効にするSQLFluffを呼び出すときにオプション--library-path 「 none」を使用することを推奨しています。回避策として、SQLFluffに取り込まれる前に構成ファイルへのアクセスを制限したり、検証したりすることで、同様の効果が得られるため、アップグレードは不要です。 （CVE-2023-36830）

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

The Linux/Unix host has one or more packages installed that are impacted by a vulnerability without a vendor supplied patch available.

  - SQLFluff is a SQL linter. Prior to version 2.1.2, in environments where untrusted users have access to the     config files, there is a potential security vulnerability where those users could use the `library_path`     config value to allow arbitrary python code to be executed via macros. For many users who use SQLFluff in     the context of an environment where all users already have fairly escalated privileges, this may not be an     issue - however in larger user bases, or where SQLFluff is bundled into another tool where developers     still wish to give users access to supply their on rule configuration, this may be an issue. The 2.1.2     release offers the ability for the `library_path` argument to be overwritten on the command line by using     the `--library-path` option. This overrides any values provided in the config files and effectively     prevents this route of attack for users which have access to the config file, but not to the scripts which     call the SQLFluff CLI directly. A similar option is provided for the Python API, where users also have a     greater ability to further customise or override configuration as necessary. Unless `library_path` is     explicitly required, SQLFluff maintainers recommend using the option `--library-path none` when invoking     SQLFluff which will disable the `library-path` option entirely regardless of the options set in the     configuration file or via inline config directives. As a workaround, limiting access to - or otherwise     validating configuration files before they are ingested by SQLFluff will provides a similar effect and     does not require upgrade. (CVE-2023-36830)

Note that Nessus relies on the presence of the package as reported by the vendor.

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
416529	SCA: security update for sqlfluff (GHSA-jqhc-m2j3-fjrx)	Tenable Self-Hosted Container Security	SCA Checks	2025/1/23	2026/7/2	medium
416529	SCA: security update for sqlfluff (GHSA-jqhc-m2j3-fjrx)	Tenable Cloud Security	SCA Checks	2025/1/23	2026/7/2	medium
226485	Linux Distros 未修補弱點：CVE-2023-36830	Nessus	Misc.	2025/3/5	2026/7/16	high
226485	Linux Distros 未修补的漏洞: CVE-2023-36830	Nessus	Misc.	2025/3/5	2026/7/16	high
226485	Linux Distros のパッチ未適用の脆弱性: CVE-2023-36830	Nessus	Misc.	2025/3/5	2026/7/16	high
226485	Linux Distros Unpatched Vulnerability : CVE-2023-36830	Nessus	Misc.	2025/3/5	2026/7/16	high

检测

插件搜索

medium

medium

high

high

high

high