远程主机上的 Spring Security 版本为低于 5.7.13 的 5.7、低于 5.8.15 的 5.8、低于 6.0.13 的 6.0、低于 6.1.11 的 6.1、低于 6.2.7 的 6.2，或低于 6.3.4 的 6.3。因而受到授权绕过漏洞的影响。

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

如 2025 年 10 月 CPU 公告所述远程主机上安装的 WebCenter Sites 14.1.2.0.0 版本受到多个漏洞的影响。

  - 在某些情况下可绕过在静态资源上具有 Spring Security 授权规则的 Spring WebFlux 应用程序。此问题必须满足下列所有条件才能影响应用程序* 必须是 WebFlux 应用程序 * 必须使用 Spring 的静态资源支持 * 必须将 non-permitAll 授权规则应用到静态资源支持 (CVE-2024-38821)

  - 通过函数式 Web 框架 WebMvc.fn 或 WebFlux.fn 提供静态资源的应用程序容易受到路径遍历攻击。攻击者可构建恶意 HTTP 请求并获取文件系统上运行着 Spring 应用程序的进程也可访问的任何文件。 (CVE-2024-38819)

  - 在 Spring Boot 版本 2.7.0 - 2.7.17、 3.0.0-3.0.12 和 3.1.0-3.1.5中用户可能提供特别构建的 HTTP 请求来可能造成拒绝服务 (DoS) 情况。具体来说当满足以下所有条件时应用程序容易受到影响* 应用程序使用 Spring MVC 或 Spring WebFlux * org.springframework.boot:spring-boot-actuator 存在于类路径中 (CVE-2023-34055)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程主机上安装的 AOS 版本低于 7.3。因此如公告 NXSA-AOS-7.3 所述受到多个漏洞的影响。

  - 在 bzip2 1.0.6 及之前版本中的 decompress.c 中，BZ2_decompress 会在存在多个选择器时出现越界写入。(CVE-2019-12900)

  - 路径等同：“file.Name”（内部点）导致远程代码执行和/或信息泄露和/或通过在 Apache Tomcat 中启用写入功能的默认 Servlet 添加到上传文件的恶意内容。此问题影响以下 Apache Tomcat 版本：11.0.0-M1 至 11.0.2、10.1.0-M1 至 10.1.34、9.0.0.M1 至 9.0.98。以下版本在创建 CVE 时寿命已终止但已知会受到影响 8.5.0 至 8.5.100。其他较早的 EOL 版本也可能受到影响。如果以下所有项均为 true，则恶意用户能够查看安全敏感文件和/或将内容注入这些文件中：- 已为默认 servlet 启用写入功能（默认禁用）- 支持部分 PUT（默认启用）- 安全敏感上传内容的目标 URL 是公开上传内容的目标 URL 的子目录 - 攻击者知道正在上传的安全敏感文件的名称 - 也通过部分 PUT 上传安全敏感文件 如果以下所有项均为 true，则恶意用户能够执行远程代码：- 已为默认 servlet 启用写入功能（默认禁用）- 支持部分 PUT（默认启用）- 应用程序使用 Tomcat 基于文件的会话持久性及默认的存储位置 - 应用程序包含可用于反序列化攻击的库 建议用户升级到版本 11.0.3、10.1.35 或 9.0.99，这些版本修复了该问题。(CVE-2025-24813)

  -可以构建一个区域以便对该区域的某些查询将生成在“其他”部分中包含大量记录的响应。发送许多此类查询的攻击者可以导致权威服务器本身或独立解析器在处理查询时使用不成比例的资源。通常需要特制区域才能攻击此风险暴露。此问题会影响 BIND 9 版本 9.11.0 至 9.11.37、 9.16.0 至 9.16.50、 9.18.0 至 9.18.32、 9.20.0 至 9.20.4、 9.21.0 至 9.21.3、9.11.3-S1 至 9.11.37-S1、9.16。 8-S1 至 9.16.50-S1，以及 9.18.11-S1 至 9.18.32-S1。 (CVE-2024-11187)

  - 在 rsync 中发现一个缺陷，当 rsync 比较文件校验和时可触发此缺陷。此缺陷允许攻击者操控校验和长度 (s2length)，造成程序比较校验和与未初始化的内存，并且每次泄漏一个字节的未初始化堆栈数据。(CVE-2024-12085)

  - Oracle Java SE、Oracle GraalVM for JDK、Oracle Java SE 的 Oracle GraalVM Enterprise Edition 产品中存在漏洞（组件：JSSE）。支持的版本中受影响的是 Oracle Java SE : 8u441、8u441-perf、11.0.26、17.0.14、21.0.6、24；Oracle GraalVM for JDK : 17.0.14、21.0.6、24；Oracle GraalVM Enterprise Edition : 20.3.17 和 21.3.13。攻击此漏洞的难度较大，通过多种协议访问网络的未经身份验证的攻击者可以利用此漏洞破坏 Oracle Java SE、Oracle GraalVM for JDK、Oracle GraalVM Enterprise Edition。成功利用此漏洞进行攻击可导致在未经授权的情况下创建、删除或修改关键数据或所有 Oracle Java SE、Oracle GraalVM for JDK、Oracle GraalVM Enterprise Edition 可访问数据的访问权限，以及未经授权即可访问关键数据或完整访问所有 Oracle Java SE、Oracle GraalVM for JDK、Oracle GraalVM Enterprise Editio 可访问数据。
    注意：此漏洞可通过使用指定组件中的 API 加以利用，如通过向 API 提供数据的 Web 服务。此漏洞也适用于需加载并运行不可信代码（如来自互联网的代码）且安全性依赖于 Java 沙盒的 Java 部署，该部署通常在需在沙盒中运行 Java Web Start 应用程序或需在沙盒中运行 Java 小程序的客户端上。
    (CVE-2025-21587)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
210409	Spring Security 5.7 < 5.7.13 / 5.8 < 5.8.15 / 6.0 < 6.0.13 / 6.1 < 6.1.11 / 6.2 < 6.2.7 / 6.3 < 6.3.4 授权绕过 (CVE-2024-38821)	Nessus	Misc.	2024/11/6	2025/1/23	critical
271373	Oracle WebCenter Sites2025 年 10 月 CPU	Nessus	Windows	2025/10/24	2025/10/30	high
240536	Nutanix AOS 多个漏洞 (NXSA-AOS-7.3)	Nessus	Misc.	2025/6/25	2025/10/16	low

检测

插件搜索

critical

high

low