远程主机上安装的 Oracle Database Server 版本受到 2026 年 1 月 CPU 公告中提及的多个漏洞影响。

  - Oracle Database Server 的 Oracle Spatial and Graph (OpenJPEG) 组件中的漏洞。支持的版本中受影响的是 23.4.0-23.26.0。利用此漏洞的难度较小，低特权或无特权攻击者在成功登录运行 Oracle Spatial and Graph (OpenJPEP) 的基础设施后，可直接危害该组件。除攻击者以外的他人进行交互是实现成功攻击的必要条件。此漏洞若被成功利用，可导致攻击者在未经授权的情况下，对 Oracle Spatial and Graph (OpenJPEG) 造成部分拒绝服务（部分 DOS）。
    (CVE-2025-54874)

  - Oracle Database Server 的 Fleet Patching and Provisioning (Eclipse Jersey) 组件中的漏洞。
    支持的版本中受影响的是 23.4.0-23.26.0。利用此漏洞的难度较高，未经身份验证的攻击者可通过 HTTP 网络访问来危害 Fleet Patching and Provisioning (Eclipse Jersey)。此漏洞若被成功利用，可导致攻击者在未经授权的情况下创建、删除或修改关键数据或所有 Fleet Patching and Provisioning (Eclipse Jersey) 可访问数据，以及未经授权访问关键数据或完整访问所有 Fleet Patching and Provisioning (Eclipse Jersey) 可访问数据。(CVE-2025-12383)

  - Oracle Database Server 的 SQLcl 组件中的漏洞。支持的版本中受影响的是 23.4.0-23.26.0。利用此漏洞的难度较高，未经身份验证的攻击者可登录运行 SQLcl  的基础架构，从而破坏 SQLcl。除攻击者以外的他人进行交互是实现成功攻击的必要条件。此漏洞若攻击成功，可导致 SQLcl 被接管。(CVE-2026-21939)

  - Oracle Database Server 的 RDBMS (Python) 组件中的漏洞。支持的版本中受影响的是 21.3-21.20 和 23.4.0-23.26.0。利用此漏洞的难度较小，具有“经过身份验证的用户”特权且可登录 RDBMS (Python) 执行所在基础设施的高特权攻击者可借此破坏 RDBMS (Python)。此漏洞若攻击成功，可导致 RDBMS (Python) 被接管。（CVE-2025-13836、CVE-2025-13837、CVE-2025-6069、CVE-2025-6075、CVE-2025-8194、CVE-2025-8291、CVE-2025-8869）

  - Oracle Database Server 的 Oracle Graal Development Kit for Micronaut (Nimbus JOSE+JWT) 组件中的漏洞。支持的版本中受影响的是 19.3-19.29 和 23.4.0-23.26.0。利用此漏洞的难度较低，未经身份验证的攻击者可通过 Oracle Net 进行网络访问，从而破坏 Oracle Graal Development Kit for Micronaut (Nimbus JOSE+JWT)。此漏洞若被成功利用，可导致攻击者在未经授权的情况下更新、插入或删除某些 Oracle Graal Development Kit for Micronaut (Nimbus JOSE+JWT) 可访问数据，并且未经授权读取 Oracle Graal Development Kit for Micronaut (Nimbus JOSE+JWT) 可访问数据的子集。(CVE-2025-67735)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

因此，该软件受到 ALAS2023-2025-1325 公告中提及的多个漏洞影响。

    使用对 _clear_id_cache() 有依赖性的 xml.dom.minidom 方法如 appendChild() 构建嵌套元素时该算法为二次方。构建过度嵌套的文档时可用性会受到影响。 (CVE-2025-12084)

    加载 plist 文件时plistlib 模块会读取文件本身指定大小的数据这意味着恶意文件可造成 OOM 和 DoS 问题 (CVE-2025-13837)

Tenable 已直接从测试产品的安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程的 AlmaLinux 8 主机安装了受多个漏洞影响的包，这些漏洞见于 ALSA-2026：10950 公告中提及。

    * expat : Expat 中的 libexpat 允许攻击者通过已提交供解析的小文档触发大量动态内存分配 (CVE-2025-59375)
      * python：os.path.expandvars() 中存在针对用户控制模板的二次方复杂性 (CVE-2025-6075)
      * cpython：加载Plist时内存不足 （CVE-2025-13837）
      * cpython：通过 PythonCVE-2025-15282 中 dataURL mediatype 进行换行的头部注入
      * cpython：http.cookies.Morsel 中的CVE-2026-0672头部注入 （）
      * cpython：CPython：在遗留的.pyc文件处理CVE-2026-2297中进行日志绕过（）
      * cpython：http.cookies 中的控制字符验证不完整 （CVE-2026-3644）
      * cpython：深度嵌套DTD内容模型的堆栈溢出解析XML（CVE-2026-4224）
      * python：通过CR/LF在代理隧道头CVE-2026-1502中注入HTTP头
      * python：Python：通过解压模块中的“免费使用”进行任意代码执行或信息披露（CVE-2026-6100）
      * python：cpython：通过命令注入在webbrowser.open（） API 中CVE-2026-4786执行任意代码

Tenable 已直接从 AlmaLinux 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程的MiracleLinux 8主机安装了受多个漏洞影响的包，如AXSA：2026-523：13公告中提及的。

    * expat : Expat 中的 libexpat 允许攻击者通过已提交供解析的小文档触发大量动态内存分配 (CVE-2025-59375)
      * python：os.path.expandvars() 中存在针对用户控制模板的二次方复杂性 (CVE-2025-6075)
      * cpython：加载Plist时内存不足 （CVE-2025-13837）
      * cpython：通过 PythonCVE-2025-15282 中 dataURL mediatype 进行换行的头部注入
      * cpython：http.cookies.Morsel 中的CVE-2026-0672头部注入 （）
      * cpython：CPython：在遗留的.pyc文件处理CVE-2026-2297中进行日志绕过（）
      * cpython：http.cookies 中的控制字符验证不完整 （CVE-2026-3644）
      * cpython：深度嵌套DTD内容模型的堆栈溢出解析XML（CVE-2026-4224）
      * python：通过CR/LF在代理隧道头CVE-2026-1502中注入HTTP头
      * python：Python：通过解压模块中的“免费使用”进行任意代码执行或信息披露（CVE-2026-6100）
      * python：cpython：通过命令注入在webbrowser.open（） API 中CVE-2026-4786执行任意代码

Tenable 已直接从 MiracleLinux 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程主机上安装的 python3 版本低于 3.7.16-1。因此，该软件受到 ALAS2-2025-3103 公告中提及的多个漏洞影响。

    使用对 _clear_id_cache() 有依赖性的 xml.dom.minidom 方法如 appendChild() 构建嵌套元素时该算法为二次方。构建过度嵌套的文档时可用性会受到影响。 (CVE-2025-12084)

    加载 plist 文件时plistlib 模块会读取文件本身指定大小的数据这意味着恶意文件可造成 OOM 和 DoS 问题 (CVE-2025-13837)

Tenable 已直接从测试产品的安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

因此，该软件受到 ALAS2023-2025-1343 公告中提及的多个漏洞影响。

    使用对 _clear_id_cache() 有依赖性的 xml.dom.minidom 方法如 appendChild() 构建嵌套元素时该算法为二次方。构建过度嵌套的文档时可用性会受到影响。 (CVE-2025-12084)

    从服务器读取 HTTP 响应时如果未指定读取量则默认行为为使用 Content-Length。允许恶意服务器造成客户端将大量数据读入内存从而可能造成 OOM 或其他 DoS。 (CVE-2025-13836)

    加载 plist 文件时plistlib 模块会读取文件本身指定大小的数据这意味着恶意文件可造成 OOM 和 DoS 问题 (CVE-2025-13837)

Tenable 已直接从测试产品的安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

因此，该软件受到 ALAS2023-2025-1344 公告中提及的多个漏洞影响。

    使用对 _clear_id_cache() 有依赖性的 xml.dom.minidom 方法如 appendChild() 构建嵌套元素时该算法为二次方。构建过度嵌套的文档时可用性会受到影响。 (CVE-2025-12084)

    从服务器读取 HTTP 响应时如果未指定读取量则默认行为为使用 Content-Length。允许恶意服务器造成客户端将大量数据读入内存从而可能造成 OOM 或其他 DoS。 (CVE-2025-13836)

    加载 plist 文件时plistlib 模块会读取文件本身指定大小的数据这意味着恶意文件可造成 OOM 和 DoS 问题 (CVE-2025-13837)

Tenable 已直接从测试产品的安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Debian 11 主机上安装的多个程序包受到 dla-4445 公告中提及的多个漏洞影响。

    - ------------------------------------------------------------------------- Debian LTS 公告 DLA-4445-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Andrej Shadura 2026 年 1 月 20 日https://wiki.debian.org/LTS
    - -------------------------------------------------------------------------

    程序包：python3.9 版本：3.9.2-1+deb11u4 CVE ID：CVE-2022-37454 CVE-2025-4516 CVE-2025-6069 CVE-2025-6075 CVE-2025-8194 CVE-2025-8291 CVE-2025-12084 CVE-2025-13836 CVE-2025-13837

    cPython 中的多个安全补丁3.9。

    CVE-2022-37454

        Keccak XKCP SHA-3 实现在 sponge 函数接口中存在整数溢出和缓冲区溢出。这允许攻击者执行任意代码或消除预期的加密属性。

    CVE-2025-4516

        bytes.decode(unicode_escape, error=ignore|replace) 中的问题可导致崩溃。

    CVE-2025-6069

        html.parser.HTMLParser 类在处理某些格式错误的特制输入时存在最坏情况下呈二次复杂度的问题，攻击者可能会借此放大拒绝服务攻击的影响。

    CVE-2025-6075

        如果传递给 os.path.expandvars() 的值由用户控制，扩展环境变量时可能导致性能降低。

    CVE-2025-8194

        tar 实现会处理具有负偏移的 tar 存档而不发生错误，从而在解析恶意构建的 tar 存档的过程中导致无限循环和死锁。

    CVE-2025-8291

        “zipfile”模块不会检查ZIP64中央目录结尾 (EOCD) 定位器记录偏移值的有效性，也不会用于定位 ZIP64EOCD 记录，而是假定 ZIP64EOCD 记录是上一个 ZIP 存档中存在的记录。攻击者可滥用此漏洞创建“zipfile”模块以有别于其他 ZIP 实现的方式处理的 ZIP 存档。

    CVE-2025-12084

        当使用 xml.dom.minidom 方法（例如与 _clear_id_cache() 存在依存关系的 appendChild()）构建嵌套元素时，算法为二次算法。构建过度嵌套的文档时，可用性可能会受到影响。

    CVE-2025-13836

        从服务器读取 HTTP 响应时，如果未指定读取量，则默认行为是使用 Content-Length。这使得恶意服务器能够让客户端将大量数据读取到内存中，可能导致 OOM 或其他 DoS。

    CVE-2025-13837

        加载 plist 文件时，plistlib 模块会按文件本身指定的大小读取数据，这意味着恶意文件可以造成 OOM 和 DoS 问题。

    对于 Debian 11 bullseye，已在 3.9.2-1+deb11u4 版本中修复这些问题。

    我们建议您升级 python3.9 程序包。

    如需了解更多 python3.9 的详细安全状态，请参阅其安全跟踪页面：
    https://security-tracker.debian.org/tracker/python3.9

    有关 Debian LTS 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://wiki.debian.org/LTS

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Ubuntu 14.04 LTS / 16.04 LTS / 18.04 LTS / 20.04 LTS / 22.04 LTS / 24.04 LTS / 25.10 主机上安装的多个程序包受到公告 USN-8018-1 中提及的多个漏洞影响。

    Denis Ledoux 发现 Python 未能正确解析电子邮件消息标头。攻击者可能利用此问题在电子邮件消息中注入任意标头。此问题仅影响 python3.6、python3.7、python3.8、python3.9、python3.10、python3.11、python3.12、python3.13 和 python3.14 程序包。
    (CVE-2025-11468)

    Jacob Walls、Shai Berger 和 Natalia Bidart 发现 Python 以二次方的方式低效解析 XML 输入。攻击者可能会利用此问题发起拒绝服务攻击。
    (CVE-2025-12084)

    经侦测，Python 未能正确解析恶意 plist 存档。攻击者可能会利用此问题造成 Python 使用过多资源，从而导致拒绝服务。此问题仅影响 python3.5、python3.6、python3.7、python3.8、python3.9、python3.10、python3.11、python3.12、python3.13 和 python3.14 程序包。(CVE-2025-13837)

    Omar Hasan 发现 Python 未能正确解析 URL 媒体类型。攻击者可能利用此问题注入任意 HTTP 标头。(CVE-2025-15282)

    Omar Hasan 发现 Python 未能正确解析恶意 IMAP 输入。攻击者可能利用此问题注入任意 IMAP 命令。(CVE-2025-15366)

    Omar Hasan 发现 Python 未能正确解析恶意 POP3 输入。攻击者可能利用此问题注入任意 POP3 命令。(CVE-2025-15367)

    Omar Hasan 发现 Python 未能正确解析恶意 cookie 标头。攻击者可能利用此问题注入任意 HTTP 标头。(CVE-2026-0672)

    Omar Hasan 发现 Python 未能正确解析恶意 HTTP 标头名称和值。攻击者可能利用此问题注入任意 HTTP 标头。(CVE-2026-0865)

Tenable 已直接从 Ubuntu 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Redhat Enterprise Linux 8 主机上安装的程序包受到 RHSA-2026:10950 公告中提及的多个漏洞的影响。

    Python 是一种解释型、交互式、面向对象的编程语言，包括模块、类、异常、非常高层次的动态数据类型，以及动态输入。Python 支持许多系统调用、库，以及各种窗口系统的接口。

    安全修复：

    * expat : Expat 中的 libexpat 允许攻击者通过已提交供解析的小文档触发大量动态内存分配 (CVE-2025-59375)

    * python：os.path.expandvars() 中存在针对用户控制模板的二次方复杂性 (CVE-2025-6075)

    * cpython：加载Plist时内存不足 （CVE-2025-13837）

    * cpython：通过 PythonCVE-2025-15282 中 dataURL mediatype 进行换行的头部注入

    * cpython：http.cookies.Morsel 中的CVE-2026-0672头部注入 （）

    * cpython：CPython：在遗留的.pyc文件处理CVE-2026-2297中进行日志绕过（）

    * cpython：http.cookies 中的控制字符验证不完整 （CVE-2026-3644）

    * cpython：深度嵌套DTD内容模型的堆栈溢出解析XML（CVE-2026-4224）

    * python：通过CR/LF在代理隧道头CVE-2026-1502中注入HTTP头

    * python：Python：通过解压模块中的“免费使用”进行任意代码执行或信息披露（CVE-2026-6100）

    * python：cpython：通过命令注入在webbrowser.open（） API 中CVE-2026-4786执行任意代码

    有关上述安全问题的更多详细信息，包括其影响、CVSS 得分、致谢，以及其他相关信息，请参阅列于“参考”部分的 CVE 页面。

Tenable 已直接从 Red Hat Enterprise Linux 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Azure Linux 3.0 主机上安装的 CBL-Mariner Releases 版本低于 测试的版本。因此，它受到 CVE-2025-13837 公告中提及的一个漏洞影响。

  - 加载 plist 文件时plistlib 模块会读取文件本身大小指定的数据这意味着恶意文件可造成 OOM 和 DoS 问题CVE-2025-13837]

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Oracle Linux 8 主机上安装的程序包受到 ELSA-2026-10950 公告中提及的多个漏洞影响。

    - 安全修复 ， CVE-2026-2297CVE-2026-4224CVE-2026-3644CVE-2026-4786CVE-2026-6100，CVE-2026-1502解决：， RHEL-168130RHEL-167892

Tenable 已直接从 Oracle Linux 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

因此，该软件受到 ALAS2023-2025-1356 公告中提及的多个漏洞影响。

    使用对 _clear_id_cache() 有依赖性的 xml.dom.minidom 方法如 appendChild() 构建嵌套元素时该算法为二次方。构建过度嵌套的文档时可用性会受到影响。 (CVE-2025-12084)

    从服务器读取 HTTP 响应时如果未指定读取量则默认行为为使用 Content-Length。允许恶意服务器造成客户端将大量数据读入内存从而可能造成 OOM 或其他 DoS。 (CVE-2025-13836)

    加载 plist 文件时plistlib 模块会读取文件本身指定大小的数据这意味着恶意文件可造成 OOM 和 DoS 问题 (CVE-2025-13837)

Tenable 已直接从测试产品的安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程的 RockyLinux 8 主机安装了受多个漏洞影响的包，如 RLSA-2026：10950 公告中提到的。

    * expat : Expat 中的 libexpat 允许攻击者通过已提交供解析的小文档触发大量动态内存分配 (CVE-2025-59375)

    * python：os.path.expandvars() 中存在针对用户控制模板的二次方复杂性 (CVE-2025-6075)

    * cpython：加载Plist时内存不足 （CVE-2025-13837）

    * cpython：通过 PythonCVE-2025-15282 中 dataURL mediatype 进行换行的头部注入

    * cpython：http.cookies.Morsel 中的CVE-2026-0672头部注入 （）

    * cpython：CPython：在遗留的.pyc文件处理CVE-2026-2297中进行日志绕过（）

    * cpython：http.cookies 中的控制字符验证不完整 （CVE-2026-3644）

    * cpython：深度嵌套DTD内容模型的堆栈溢出解析XML（CVE-2026-4224）

    * python：通过CR/LF在代理隧道头CVE-2026-1502中注入HTTP头

    * python：Python：通过解压模块中的“免费使用”进行任意代码执行或信息披露（CVE-2026-6100）

    * python：cpython：通过命令注入在webbrowser.open（） API 中CVE-2026-4786执行任意代码

Tenable 已直接从 RockyLinux 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - 加载 plist 文件时plistlib 模块会读取文件本身大小指定的数据这意味着恶意文件可造成 OOM 和 DoS 问题CVE-2025-13837]

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
296378	Oracle Database Server (2026 年 1 月 CPU)	Nessus	Databases	2026/1/23	2026/4/30	critical
282389	Amazon Linux 2023: python3、python3-devel、python3-idle (ALAS2023-2025-1325)	Nessus	Amazon Linux Local Security Checks	2026/1/8	2026/4/30	medium
310955	AlmaLinux 8 ： python3.12 （ALSA-2026：10950）	Nessus	Alma Linux Local Security Checks	2026/4/29	2026/4/29	critical
311812	MiracleLinux 8 ： python3.12-3.12.13-2.el8_10 （AXSA：2026-523：13）	Nessus	Miracle Linux Local Security Checks	2026/5/3	2026/5/3	critical
281788	Amazon Linux 2python3、 --advisory ALAS2-2025-3103 (ALAS-2025-3103)	Nessus	Amazon Linux Local Security Checks	2026/1/5	2026/4/30	medium
282372	Amazon Linux 2023python3.13、python3.13-devel、python3.13-freethreading (ALAS2023-2025-1343)	Nessus	Amazon Linux Local Security Checks	2026/1/8	2026/4/30	medium
282406	Amazon Linux 2023：python3.12、python3.12-devel、python3.12-idle (ALAS2023-2025-1344)	Nessus	Amazon Linux Local Security Checks	2026/1/8	2026/4/30	medium
294786	Debian dla-4445：idle-python3.9 - 安全更新	Nessus	Debian Local Security Checks	2026/1/20	2026/4/30	medium
298266	Ubuntu 14.04 LTS / 16.04 LTS / 18.04 LTS / 20.04 LTS / 22.04 LTS / 24.04 LTS / 25.10：Python 漏洞 (USN-8018-1)	Nessus	Ubuntu Local Security Checks	2026/2/6	2026/4/30	medium
310559	RHEL 8：python3.12 (RHSA-2026:10950)	Nessus	Red Hat Local Security Checks	2026/4/27	2026/4/27	critical
295002	Azure Linux 3.0 安全更新CBL-Mariner 版本 (CVE-2025-13837)	Nessus	Azure Linux Local Security Checks	2026/1/22	2026/1/22	low
310728	Oracle Linux 8：python3.12 (ELSA-2026-10950)	Nessus	Oracle Linux Local Security Checks	2026/4/28	2026/4/28	critical
282408	Amazon Linux 2023：python3.11、python3.11-devel、python3.11-idle (ALAS2023-2025-1356)	Nessus	Amazon Linux Local Security Checks	2026/1/8	2026/4/30	medium
310642	RockyLinux 8 ： python3.12 （RLSA-2026：10950）	Nessus	Rocky Linux Local Security Checks	2026/4/28	2026/4/28	critical
277038	Linux Distros 未修补的漏洞：CVE-2025-13837	Nessus	Misc.	2025/12/2	2026/4/29	low

检测

插件搜索

critical

medium

critical

critical

medium

medium

medium

medium

medium

critical

low

critical

medium

critical

low