There are packages installed that are affected by a vulnerability referenced in the following CVE:

  - EndpointRequest.to() creates a matcher for null/** if the actuator endpoint, for which the EndpointRequest
    has been created, is disabled or not exposed. Your application may be affected by this if all the
    following conditions are met: * You use Spring Security * EndpointRequest.to() has been used in a Spring
    Security chain configuration * The endpoint which EndpointRequest references is disabled or not exposed
    via web * Your application handles requests to /null and this path needs protection You are not affected
    if any of the following is true: * You don't use Spring Security * You don't use EndpointRequest.to() *
    The endpoint which EndpointRequest.to() refers to is enabled and is exposed * Your application does not
    handle requests to /null or this path does not need protection (CVE-2025-22235)

如 2025 年 10 月 CPU 公告所述远程主机上安装的 WebCenter Sites 14.1.2.0.0 版本受到多个漏洞的影响。

  - 在某些情况下可绕过在静态资源上具有 Spring Security 授权规则的 Spring WebFlux 应用程序。此问题必须满足下列所有条件才能影响应用程序* 必须是 WebFlux 应用程序 * 必须使用 Spring 的静态资源支持 * 必须将 non-permitAll 授权规则应用到静态资源支持 (CVE-2024-38821)

  - 通过函数式 Web 框架 WebMvc.fn 或 WebFlux.fn 提供静态资源的应用程序容易受到路径遍历攻击。攻击者可构建恶意 HTTP 请求并获取文件系统上运行着 Spring 应用程序的进程也可访问的任何文件。 (CVE-2024-38819)

  - 在 Spring Boot 版本 2.7.0 - 2.7.17、 3.0.0-3.0.12 和 3.1.0-3.1.5中用户可能提供特别构建的 HTTP 请求来可能造成拒绝服务 (DoS) 情况。具体来说当满足以下所有条件时应用程序容易受到影响* 应用程序使用 Spring MVC 或 Spring WebFlux * org.springframework.boot:spring-boot-actuator 存在于类路径中 (CVE-2023-34055)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且供應商未提供可用的修補程式。

  - 若已建立 EndpointRequest 的執行器端點已停用或未暴露則 EndpointRequest.to() 會建立 null/** 的比對器。如果符合下列所有條件您的應用程式可能會受到此弱點影響* 您使用 Spring Security * EndpointRequest.to() 已用於 Spring Security 鏈結組態 * EndpointRequest 參照的端點已停用或未透過 web * 您的應用程式會處理對 /null 的要求而此路徑需要保護 如果下列任何一項為 true，您不會受到影響* 您未使用 Spring Security * 您未使用 EndpointRequest.to() * 採用 EndpointRequest.to( ) 指的是 已啟用且已洩漏 * 您的應用程式未處理對 /null 的要求或此路徑不需要保護 (CVE-2025-22235)

請注意，Nessus 依賴供應商報告的套件存在。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - 如果已为其创建 EndpointRequest 的执行器端点禁用或未暴露则 EndpointRequest.to() 会针对 null/** 创建匹配程序。若满足下列所有条件您的应用程序可能会受到此漏洞的影响* 您使用 Spring Security * EndpointRequest.to() 已在 Spring Security 链配置中使用 * EndpointRequest 引用的端点已禁用或未通过 web 暴露 * 您的应用程序处理对 /null 的请求且此路径需要保护 如果出现以下任一情况则不受影响* 您不使用 Spring Security * 您不使用 EndpointRequest.to() * EndpointRequest.to( ) 所指的 已启用并暴露 * 您的应用程序未处理对 /null 的请求或此路径不需要保护 (CVE-2025-22235)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

遠端主機上安裝的 14.1.2.0.0 版 WebCenter Sites 受到 2025 年 10 月 CPU 公告中所提及的多個弱點影響。

  - 在某些情況下可繞過在靜態資源上具有 Spring Security 授權規則的 Spring WebFlux 應用程式。為使應用程式發生此弱點必須滿足下列所有條件* 必須是 WebFlux 應用程式 * 必須使用 Spring 的靜態資源支援 * 必須將 non-permitAll 授權規則套用至靜態資源支援 (CVE-2024-38821)

  - 透過函式型網頁架構 WebMvc.fn 或 WebFlux.fn 提供靜態資源的應用程式容易遭受路徑遊走攻擊。攻擊者可特製惡意 HTTP 要求並取得檔案系統上執行 Spring 應用程式的處理程序也可存取的任何檔案。 (CVE-2024-38819)

  - 在 Spring Boot 2.7.0 - 2.7.17、 3.0.0-3.0.12 和 3.1.0-3.1.5版中使用者可提供特製的 HTTP 要求這可能會造成拒絕服務 (DoS) 情形。具體而言符合以下所有條件的應用程式即容易遭受攻擊* 應用程式使用 Spring MVC 或 Spring WebFlux * org.springframework.boot:spring-boot-actuator 在類別路徑上 (CVE-2023-34055)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - EndpointRequest.to() は、EndpointRequest が作成されたアクチュエーターエンドポイントが無効であるか、公開されていない場合、null/** の matcher を作成します。次のすべての条件が満たされている場合、アプリケーションはこれによる影響を受ける可能性があります。* Spring Securityを使用している* EndpointRequest.to()がSpring Securityチェーン構成で使用されている* EndpointRequestが参照するエンドポイントが無効になっているか、Web経由で公開されていない *アプリケーションが /null へのリクエストを処理し、このパスは保護を必要とします。次のいずれかが真である場合は影響を受けません。* Spring Security を使用していない * EndpointRequest.to() を使用していない * EndpointRequest.to() を使用していないエンドポイントへの参照が有効化され、漏洩されます * アプリケーションが /null へのリクエストを処理しない、またはこのパスに保護が必要ありませんCVE-2025-22235

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

リモートホストにインストールされている WebCenter Sites の 14.1.2.0.0 バージョンは、2025 年 10 月 CPU アドバイザリで言及されているように、複数の脆弱性の影響を受けます。

  - 静的リソースでSpring Securityの承認ルールがあるSpring WebFluxアプリケーションが、特定の状況でバイパスされる可能性があります。これがアプリケーションに影響を与えるには、次のすべてが真である必要があります * WebFlush アプリケーションである必要があります * Spring の静的リソースサポートを使用している必要があります * 静的リソースサポートに非 permitAll 承認ルールが適用されていなければなりませんCVE-2024-38821)

  - 関数型ウェブフレームワークである WebMvc.fn または WebFlux.fn を通じて静的リソースを提供するアプリケーションは、パストラバーサル攻撃に対して脆弱です。攻撃者は悪意のあるHTTPリクエストを作成し、Springアプリケーションを実行しているプロセスもアクセス可能なファイルシステム上の任意のファイルを取得する可能性があります。CVE-2024-38819

  - Spring Bootのバージョン 2.7.0 - 2.7.17、 3.0.0-3.0.12 、 3.1.0-3.1.5では、ユーザーが特別に細工されたHTTPリクエストを提供して、サービス拒否DoS状態を引き起こす可能性があります。具体的には、次のすべてが真である場合、アプリケーションが脆弱です*アプリケーションはSpring MVCまたはSpring WebFluxを使用します* org.springframework.boot:spring-boot-actuatorがクラスパスにあるCVE-2023-34055]

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

The Linux/Unix host has one or more packages installed that are impacted by a vulnerability without a vendor supplied patch available.

  - EndpointRequest.to() creates a matcher for null/** if the actuator endpoint, for which the EndpointRequest     has been created, is disabled or not exposed. Your application may be affected by this if all the     following conditions are met: * You use Spring Security * EndpointRequest.to() has been used in a Spring     Security chain configuration * The endpoint which EndpointRequest references is disabled or not exposed     via web * Your application handles requests to /null and this path needs protection You are not affected     if any of the following is true: * You don't use Spring Security * You don't use EndpointRequest.to() *     The endpoint which EndpointRequest.to() refers to is enabled and is exposed * Your application does not     handle requests to /null or this path does not need protection (CVE-2025-22235)

Note that Nessus relies on the presence of the package as reported by the vendor.

The 14.1.2.0.0 versions of WebCenter Sites installed on the remote host are affected by multiple vulnerabilities as referenced in the October 2025 CPU advisory.

  - Spring WebFlux applications that have Spring Security authorization rules on static resources can be bypassed under     certain circumstances. For this to impact an application, all of the following must be true: * It must be a WebFlux     application * It must be using Spring's static resources support * It must have a non-permitAll authorization rule     applied to the static resources support (CVE-2024-38821)

  - Applications serving static resources through the functional web frameworks WebMvc.fn or WebFlux.fn are vulnerable     to path traversal attacks. An attacker can craft malicious HTTP requests and obtain any file on the file system that     is also accessible to the process in which the Spring application is running. (CVE-2024-38819)

  - In Spring Boot versions 2.7.0 - 2.7.17, 3.0.0-3.0.12 and 3.1.0-3.1.5, it is possible for a user to provide specially     crafted HTTP requests that may cause a denial-of-service (DoS) condition. Specifically, an application is vulnerable     when all of the following are true: * the application uses Spring MVC or Spring WebFlux *     org.springframework.boot:spring-boot-actuator is on the classpath (CVE-2023-34055)

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
428731	SCA: security update for org.springframework.boot:spring-boot (GHSA-rc42-6c7j-7h5r)	Tenable Cloud Security	SCA Checks	2025/8/4	2026/7/2	high
464215	Echo: org.springframework.boot:spring-boot: security update to 3.3.11org.springframework.boot:spring-boot-actuator-autoconfigure: security update to 3.2.0+echo.1	Tenable Cloud Security	Echo Local Security Checks	2026/10/2	2026/10/13	high
428731	SCA: security update for org.springframework.boot:spring-boot (GHSA-rc42-6c7j-7h5r)	Tenable Self-Hosted Container Security	SCA Checks	2025/8/4	2026/7/2	high
464215	Echo: org.springframework.boot:spring-boot: security update to 3.3.11org.springframework.boot:spring-boot-actuator-autoconfigure: security update to 3.2.0+echo.1	Tenable Self-Hosted Container Security	Echo Local Security Checks	2026/10/2	2026/10/13	high
271373	Oracle WebCenter Sites2025 年 10 月 CPU	Nessus	Windows	2025/10/24	2025/10/30	high
247957	Linux Distros 未修補的弱點：CVE-2025-22235	Nessus	Misc.	2025/8/11	2026/11/5	high
247957	Linux Distros 未修补的漏洞：CVE-2025-22235	Nessus	Misc.	2025/8/11	2026/11/5	high
271373	Oracle WebCenter Sites (2025 年 10 月 CPU)	Nessus	Windows	2025/10/24	2025/10/30	high
247957	Linux Distros のパッチ未適用の脆弱性: CVE-2025-22235	Nessus	Misc.	2025/8/11	2026/11/5	high
271373	Oracle WebCenter Sites2025年10月CPU	Nessus	Windows	2025/10/24	2025/10/30	high
247957	Linux Distros Unpatched Vulnerability : CVE-2025-22235	Nessus	Misc.	2025/8/11	2026/11/5	high
271373	Oracle WebCenter Sites (October 2025 CPU)	Nessus	Windows	2025/10/24	2025/10/30	high

检测

插件搜索

high

high

high

high

high

high

high

high

high

high

high

high