因此，该软件受到 ALAS2023-2025-1044 公告中提及的多个漏洞影响。

    允许在提取目录外的文件中通过 filter=data 或 filter=tar 的文件权限 (chmod) 修改某些文件的元数据 (例如上次修改日期)。若使用 tarfile 模块提取使用 TarFile 的不可信 tar 存档您会受到此漏洞的影响。 extractall() 或 TarFile.extract() 使用 filter= 参数且具有 data 或 tar 值。请参阅 tarfile 提取过滤器文档 https://docs.python.org/3/library/tarfile.html#tarfile-extraction-filterfor 了解更多信息。只有 Python 3.12 或更高版本会受到这些漏洞的影响较早的版本不包含提取过滤器功能。

    请注意对于 Python 3.14 或更高版本filter= 的默认值从无过滤更改为“数据”因此如果您依赖此新的默认行为则您的使用情况也会受到影响。

    请注意这些漏洞不会对源发行版本的安装产生重大影响因为源发行版本已允许在构建过程中执行任意代码。但是在评估来源发行版本时务必避免安装含有可疑链接的来源发行版本。 (CVE-2024-12718)

    允许忽略提取过滤器、允许符号链接目标指向目标目录之外以及修改某些文件元数据。

    如果使用 tarfile 模块通过使用值为 data 或 tar 的 filter= 参数的 TarFile.extractall() 或 TarFile.extract() 来提取不受信任的 tar 存档则您会受到此漏洞的影响。请参阅 tarfile 提取过滤器文档 https://docs.python.org/3/library/tarfile.html#tarfile-extraction-filterfor 了解更多信息。

    请注意对于 Python 3.14 或更高版本filter= 的默认值从无过滤更改为“数据”因此如果您依赖此新的默认行为则您的使用情况也会受到影响。

    请注意这些漏洞不会对源发行版本的安装产生重大影响因为源发行版本已允许在构建过程中执行任意代码。但是在评估来源发行版本时务必避免安装含有可疑链接的来源发行版本。 (CVE-2025-4138)

    允许忽略提取过滤器、允许符号链接目标指向目标目录之外以及修改某些文件元数据。

    如果使用 tarfile 模块通过使用值为 data 或 tar 的 filter= 参数的 TarFile.extractall() 或 TarFile.extract() 来提取不受信任的 tar 存档则您会受到此漏洞的影响。请参阅 tarfile 提取过滤器文档 https://docs.python.org/3/library/tarfile.html#tarfile-extraction-filterfor 了解更多信息。

    请注意对于 Python 3.14 或更高版本filter= 的默认值从无过滤更改为“数据”因此如果您依赖此新的默认行为则您的使用情况也会受到影响。

    请注意这些漏洞不会对源发行版本的安装产生重大影响因为源发行版本已允许在构建过程中执行任意代码。但是在评估来源发行版本时务必避免安装含有可疑链接的来源发行版本。 (CVE-2025-4330)

    当 TarFile.errorlevel = 0 并通过筛选器提取时记录的行为是跳过且不提取任何筛选的成员。然而受影响版本中 TarFile.errorlevel = 0 的实际行为仍是提取成员而不是跳过该成员。 (CVE-2025-4435)

    使用“bytes.decode(unicode_escape, error=ignore|replace)”时CPython 中存在一个问题。如果您使用的非 unicode_escape 编码或错误处理程序则不影响您的使用。要解决此问题可以停止使用 error= 处理程序而将 bytes.decode() 调用包装在捕获 DecodeError 的 try-except 中。 (CVE-2025-4516)

    在使用 filter=data 提取期间允许在提取目录外部写入任意文件系统。

    如果使用 tarfile 模块通过使用值为 data 或 tar 的 filter= 参数的 TarFile.extractall() 或 TarFile.extract() 来提取不受信任的 tar 存档则您会受到此漏洞的影响。请参阅 tarfile 提取过滤器文档 https://docs.python.org/3/library/tarfile.html#tarfile-extraction-filterfor 了解更多信息。只有 Python 3.12 或更高版本会受到这些漏洞的影响较早的版本不包含提取过滤器功能。

    请注意对于 Python 3.14 或更高版本filter= 的默认值从无过滤更改为“数据”因此如果您依赖此新的默认行为则您的使用情况也会受到影响。

    请注意这些漏洞不会对源发行版本的安装产生重大影响因为源发行版本已允许在构建过程中执行任意代码。但是在评估来源发行版本时务必避免安装含有可疑链接的来源发行版本。 (CVE-2025-4517)

Tenable 已直接从测试产品的安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Oracle Linux 8 主机上安装的程序包受到 ELSA-2025-23530 公告中提及的多个漏洞影响。

    mod_wsgi numpy python39 [3.9.25-2]
    - 添加显式 BRlibxcrypt-devel
    - 正确应用针对 dtrace/systemtap 版本的导出的 CFLAGS
    - 更新到 Python 3.9.25
    - 将 _sysconfigdata_d_linux*.py 移动到调试子程序包
    - Fedora 贡献者
          Bjorn Esser <besser82@fedoraproject.org> Charalampos Stratakis <cstratak@redhat.com> Karolina Surma <ksurma@redhat.com> Tomas Orsava <torsava@redhat.com> Tomas Hrnciar <thrnciar@redhat.com> 解决了 RHEL-128539

    python3x-pip python3x-setuptools python3x-six python-cffi python-chardet python-cryptography python-idna python-lxml python-ply python-psutil python-psycopg2 python-pycparser python-PyMySQL python-pysocks python-requests python-toml python- urllib3 python-wheel PyYAML scipy Cython pybind11 pytest python3x-pyparsing python-attrs python-iniconfig python-more-itertools python-packaging python-pluggy python-py python-wcwidth

Tenable 已直接从 Oracle Linux 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程主机上安装的 AOS 版本低于 7.5.1。因此如公告 NXSA-AOS-7.5.1 所述受到多个漏洞的影响。

  - 在 GNU Binutils 中发现一个漏洞 2.45。受影响的元素是组件链接器的库 bfd/elfcode.h 中的函数 elf_swap_shdr。此操纵漏洞会导致基于堆的缓冲区溢出。
    攻击必须在本地进行。该漏洞已被公开并可被使用。修补程序的标识符为 9ca499644a21ceb3f946d1c179c38a83be084490。要修复此问题，建议部署修补程序。代码维护者回复了 [f]已修复 2.46。 (CVE-2025-11083)

  - 由于限制不足，为多部分请求的标头分配资源时，Apache Commons FileUpload 中会产生 DoS 漏洞。此问题会影响下列版本的 Apache Commons FileUpload：1.0 至 1.6；从 2.0.0-M1 至 2.0.0-M4。建议用户升级到已修复此问题的 1.6 版或 2.0.0-M4。(CVE-2025-48976)

  - urllib.parse.urlsplit() 和 urlparse() 函数未正确验证加括号的主机(“[]”)从而允许非 IPv6 或 IPvFuture 的主机。此行为不符合 RFC 3986，并且如果多个 URL 解析器处理 URL，可能会产生服务器端请求伪造 (SSRF) 漏洞。(CVE-2024-11168)

  - CPython 3.9 和更低版本不允许为 SSLContext.set_npn_protocols() 配置空列表 ([])这对于底层 OpenSSL API 是无效值。这会在使用 NPN 时造成缓冲区过度读取（请参阅 CVE-2024-5535，了解 OpenSSL）。该漏洞是低危问题，原因是 NPN 未得到广泛使用以及指定空列表可能在实践中并不常见（通常会配置协议名称）。(CVE-2024-5642)

  - 未正确引用创建虚拟环境时提供的路径名称时在 CPython “venv” 模块和 CLI 中发现一个漏洞可允许创建者将命令注入虚拟环境激活脚本即来源 venv/bin/activate。这意味着攻击者控制的虚拟环境可在被激活时运行命令。
    非攻击者创建的虚拟环境或在使用前未激活的虚拟环境（即 ./venv/bin/python）不受影响。(CVE-2024-9287)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程主机上安装的 python3 版本低于 3.7.16-1。因此，该软件受到 ALAS2-2025-2923 公告中提及的多个漏洞影响。

    当使用 bytes.decode(unicode_escape, error=ignore|replace) 时，CPython 中存在一个问题。如果您未使用 unicode_escape 编码或错误处理程序，则您的使用不会受到影响。作为解决此问题的方法，您可以停止使用 error= 处理程序，而是在捕获 DecodeError 的 try-except 中包装 bytes.decode() 调用。(CVE-2025-4516)

    html.parser.HTMLParser 类在处理某些格式错误的特制输入时存在最坏情况下呈二次复杂度的问题，攻击者可能会借此放大拒绝服务攻击的影响。(CVE-2025-6069)

Tenable 已直接从测试产品的安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - 使用“bytes.decode(unicode_escape, error=ignore|replace)”时CPython 中存在一个问题。如果您未使用 unicode_escape 编码或错误处理程序，则您的使用不会受到影响。作为解决此问题的方法，您可以停止使用 error= 处理程序，而是在捕获 DecodeError 的 try-except 中包装 bytes.decode() 调用。(CVE-2025-4516)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

远程 AlmaLinux 8 主机存在安装的程序包该程序包受到公告 ALSA-2025:23530 中提及的多个漏洞的影响。

    * python使用 NPN 时OpenSSL API 的无效值可能导致缓冲区过度读取 (CVE-2024-5642)
      * python：虚拟环境 (venv) 激活脚本不引用路径 (CVE-2024-9287)
      * python：未正确验证 IPv6 和 IPvFuture 地址 (CVE-2024-11168)
      * python：cpython：URL 解析器允许域名中存在方括号 (CVE-2025-0938)
      * cpythonpythonCPython DecodeError 处理漏洞 (CVE-2025-4516)
      * cpython：当 errorlevel=0 时，Tarfile 会提取已过滤成员 (CVE-2025-4435)
      * cpython：python：绕过提取过滤器以链接外部提取目录 (CVE-2025-4330)
      * python：cpython：通过 tarfile realpath 溢出实现任意写入 (CVE-2025-4517)
      * cpython：python：绕过提取过滤器，为提取目录外的任意目标创建符号链接 (CVE-2025-4138)
      * cpythonPython HTMLParser 二次方复杂性 (CVE-2025-6069)
      * cpythonpythonPython zipfile 中央目录结尾 (EOCD) 未检查定位器记录偏移 (CVE-2025-8291)
      * python具有用户控制模板的 os.path.expandvars() 中的二次方复杂性 (CVE-2025-6075)

Tenable 已直接从 AlmaLinux 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程主机上安装的 AOS 版本低于 7.0.1.14。因此如公告 NXSA-AOS-7.0.1.14 所述受到多个漏洞的影响。

  - 在 GNU Binutils 中发现一个漏洞 2.45。受影响的元素是组件链接器的库 bfd/elfcode.h 中的函数 elf_swap_shdr。此操纵漏洞会导致基于堆的缓冲区溢出。
    攻击必须在本地进行。该漏洞已被公开并可被使用。修补程序的标识符为 9ca499644a21ceb3f946d1c179c38a83be084490。要修复此问题，建议部署修补程序。代码维护者回复了 [f]已修复 2.46。 (CVE-2025-11083)

  - LIBPNG 是一个参考库在读取、创建和操纵 PNG可移植网络图形栅格图像文件的应用程序中使用。从版本 1.6.0 到 1.6.51之前的版本png_image_read_composite 中处理启用了 PNG_FLAG_OPTIMIZE_ALPHA 的调色板图像时存在越界读取漏洞。png_init_read_transformations 中的调色板复合代码在预乘期间未正确应用背景复合从而违反了简化的 PNG API 所需的不变组件 alpha 257。已在版本 1.6.51 中修补此问题。(CVE-2025-64720)

  - LIBPNG 是一个参考库在读取、创建和操纵 PNG可移植网络图形栅格图像文件的应用程序中使用。从版本 1.6.0 到 1.6.51之前的版本libpng 简化的 API 函数 png_image_finish_read 中存在一个堆缓冲区溢出漏洞当处理具有 8 位输出格式的 16 位交错式 PNG 时。攻击者构建的交错式 PNG 文件可造成堆写入超出分配的缓冲区边界。已在版本 1.6.51 中修补此问题。(CVE-2025-65018)

  - Oracle Java SE、Oracle GraalVM for JDK、Oracle Java SE 的 Oracle GraalVM Enterprise Edition 产品中存在漏洞（组件：RMI）。支持的版本中受影响的是 Oracle Java SE：8u471、8u471-b50、8u471-perf、11.0.29、17.0.17、21.0.9、25.0.1；Oracle GraalVM for JDK：17.0.17 和 21.0.9；
    Oracle GraalVM Enterprise Edition：21.3.16。攻击此漏洞的难度较大，通过多种协议访问网络的未经身份验证的攻击者可以利用此漏洞破坏 Oracle Java SE、Oracle GraalVM for JDK、Oracle GraalVM Enterprise Edition。成功利用此漏洞进行攻击可导致在未经授权的情况下更新、插入或修改部分 Oracle Java SE、Oracle GraalVM for JDK、Oracle GraalVM Enterprise Edition 可访问数据的访问权限，以及未经授权即可读取访问 Oracle Java SE、Oracle GraalVM for JDK、Oracle GraalVM Enterprise Edition 可访问数据的子集。注意：此漏洞可通过使用指定组件中的 API 加以利用，如通过向 API 提供数据的 Web 服务。此漏洞也适用于需加载并运行不可信代码（如来自互联网的代码）且安全性依赖于 Java 沙盒的 Java 部署，该部署通常在需在沙盒中运行 Java Web Start 应用程序或需在沙盒中运行 Java 小程序的客户端上。(CVE-2026-21925)

  - Oracle Java SE、Oracle GraalVM for JDK、Oracle Java SE 的 Oracle GraalVM Enterprise Edition 产品中的漏洞（组件：Networking）。支持的版本中受影响的是 Oracle Java SE：8u471、8u471-b50、8u471-perf、11.0.29、17.0.17、21.0.9、25.0.1；Oracle GraalVM for JDK：17.0.17 和 21.0.9；
    Oracle GraalVM Enterprise Edition：21.3.16。此漏洞较容易受到攻击，其允许未经身份验证的攻击者通过多种协议进行网络访问，从而破坏 Oracle Java SE、Oracle GraalVM for JDK、Oracle GraalVM Enterprise Edition。若要成功发动攻击，必须与攻击者以外的其他人进行人工交互；虽然该漏洞存在于 Oracle Java SE、Oracle GraalVM for JDK、Oracle GraalVM Enterprise Edition 中，但攻击可能对其他产品造成重大影响（范围更改）。成功利用此漏洞进行攻击可导致在未经授权的情况下更新、插入或修改部分 Oracle Java SE、Oracle GraalVM for JDK、Oracle GraalVM Enterprise Edition 可访问数据的访问权限，以及未经授权即可读取访问 Oracle Java SE、Oracle GraalVM for JDK、Oracle GraalVM Enterprise Edition 可访问数据的子集。注意：此漏洞可通过使用指定组件中的 API 加以利用，如通过向 API 提供数据的 Web 服务。此漏洞也适用于需加载并运行不可信代码（如来自互联网的代码）且安全性依赖于 Java 沙盒的 Java 部署，该部署通常在需在沙盒中运行 Java Web Start 应用程序或需在沙盒中运行 Java 小程序的客户端上。(CVE-2026-21933)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程iraclelinux 8 主机上存在安装的程序包该程序包受到 AXSA:2025-11636:01 公告中提及的多个漏洞的影响。

    * python：使用 NPN 时，OpenSSL API 的无效值可能会导致缓冲区读取越界 (CVE-2024-5642)
      * python：虚拟环境 (venv) 激活脚本不引用路径 (CVE-2024-9287)
      * python：未正确验证 IPv6 和 IPvFuture 地址 (CVE-2024-11168)
      * python：cpython：URL 解析器允许域名中存在方括号 (CVE-2025-0938)
      * cpythonpythonCPython DecodeError 处理漏洞 (CVE-2025-4516)
      * cpython：当 errorlevel=0 时，Tarfile 会提取已过滤成员 (CVE-2025-4435)
      * cpython：python：绕过提取过滤器以链接外部提取目录 (CVE-2025-4330)
      * python：cpython：通过 tarfile realpath 溢出实现任意写入 (CVE-2025-4517)
      * cpython：python：绕过提取过滤器，为提取目录外的任意目标创建符号链接 (CVE-2025-4138)
      * cpython：Python HTMLParser 二次方复杂性 (CVE-2025-6069)
      * cpython：python：未检查 Python zipfile 中央目录结尾 (EOCD) 定位器记录偏移 (CVE-2025-8291)
      * python：os.path.expandvars() 中存在针对用户控制模板的二次方复杂性 (CVE-2025-6075)

Tenable 已直接从MiracleLinux 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

因此，该程序受到 ALAS2023-2025-1032 公告中提及的一个漏洞影响。

    使用“bytes.decode(unicode_escape, error=ignore|replace)”时CPython 中存在一个问题。如果您使用的非 unicode_escape 编码或错误处理程序则不影响您的使用。要解决此问题可以停止使用 error= 处理程序而将 bytes.decode() 调用包装在捕获 DecodeError 的 try-except 中。 (CVE-2025-4516)

Tenable 已直接从测试产品的安全公告中提取上述描述块。

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

因此，该程序受到 ALAS2023-2025-1033 公告中提及的一个漏洞影响。

    当使用 bytes.decode(unicode_escape, error=ignore|replace) 时，CPython 中存在一个问题。如果您未使用 unicode_escape 编码或错误处理程序，则您的使用不会受到影响。作为解决此问题的方法，您可以停止使用 error= 处理程序，而是在捕获 DecodeError 的 try-except 中包装 bytes.decode() 调用。(CVE-2025-4516)

Tenable 已直接从测试产品的安全公告中提取上述描述块。

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

远程 RockyLinux 8 主机上存在安装的程序包该程序包受到公告 RLSA-2025:23530 中提及的多个漏洞的影响。

    * python使用 NPN 时OpenSSL API 的无效值可能导致缓冲区过度读取 (CVE-2024-5642)

    * python：虚拟环境 (venv) 激活脚本不引用路径 (CVE-2024-9287)

    * python：未正确验证 IPv6 和 IPvFuture 地址 (CVE-2024-11168)

    * python：cpython：URL 解析器允许域名中存在方括号 (CVE-2025-0938)

    * cpythonpythonCPython DecodeError 处理漏洞 (CVE-2025-4516)

    * cpython：当 errorlevel=0 时，Tarfile 会提取已过滤成员 (CVE-2025-4435)

    * cpython：python：绕过提取过滤器以链接外部提取目录 (CVE-2025-4330)

    * python：cpython：通过 tarfile realpath 溢出实现任意写入 (CVE-2025-4517)

    * cpython：python：绕过提取过滤器，为提取目录外的任意目标创建符号链接 (CVE-2025-4138)

    * cpythonPython HTMLParser 二次方复杂性 (CVE-2025-6069)

    * cpythonpythonPython zipfile 中央目录结尾 (EOCD) 未检查定位器记录偏移 (CVE-2025-8291)

    * python具有用户控制模板的 os.path.expandvars() 中的二次方复杂性 (CVE-2025-6075)

Tenable 已直接从 RockyLinux 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程主机上安装的 AOS 版本低于 7.3.1.5。因此如公告 NXSA-AOS-7.3.1.5 所述受到多个漏洞的影响。

  - 在 GNU Binutils 中发现一个漏洞 2.45。受影响的元素是组件链接器的库 bfd/elfcode.h 中的函数 elf_swap_shdr。此操纵漏洞会导致基于堆的缓冲区溢出。
    攻击必须在本地进行。该漏洞已被公开并可被使用。修补程序的标识符为 9ca499644a21ceb3f946d1c179c38a83be084490。要修复此问题，建议部署 修补程序。代码维护者回复了 [f]已修复 2.46。 (CVE-2025-11083)

  - LIBPNG 是一个参考库在读取、创建和操纵 PNG可移植网络图形栅格图像文件的应用程序中使用。从版本 1.6.0 到 1.6.51之前的版本png_image_read_composite 中处理启用了 PNG_FLAG_OPTIMIZE_ALPHA 的调色板图像时存在越界读取漏洞。png_init_read_transformations 中的调色板复合代码在预乘期间未正确应用背景复合从而违反了简化的 PNG API 所需的不变组件 alpha 257。已在版本 1.6.51 中修补此问题。(CVE-2025-64720)

  - LIBPNG 是一个参考库在读取、创建和操纵 PNG可移植网络图形栅格图像文件的应用程序中使用。从版本 1.6.0 到 1.6.51之前的版本libpng 简化的 API 函数 png_image_finish_read 中存在一个堆缓冲区溢出漏洞当处理具有 8 位输出格式的 16 位交错式 PNG 时。攻击者构建的交错式 PNG 文件可造成堆写入超出分配的缓冲区边界。已在版本 1.6.51 中修补此问题。(CVE-2025-65018)

  - Oracle Java SE、Oracle GraalVM for JDK、Oracle Java SE 的 Oracle GraalVM Enterprise Edition 产品中存在漏洞（组件：RMI）。支持的版本中受影响的是 Oracle Java SE：8u471、8u471-b50、8u471-perf、11.0.29、17.0.17、21.0.9、25.0.1；Oracle GraalVM for JDK：17.0.17 和 21.0.9；
    Oracle GraalVM Enterprise Edition：21.3.16。攻击此漏洞的难度较大，通过多种协议访问网络的未经身份验证的攻击者可以利用此漏洞破坏 Oracle Java SE、Oracle GraalVM for JDK、Oracle GraalVM Enterprise Edition。成功利用此漏洞进行攻击可导致在未经授权的情况下更新、插入或修改部分 Oracle Java SE、Oracle GraalVM for JDK、Oracle GraalVM Enterprise Edition 可访问数据的访问权限，以及未经授权即可读取访问 Oracle Java SE、Oracle GraalVM for JDK、Oracle GraalVM Enterprise Edition 可访问数据的子集。注意：此漏洞可通过使用指定组件中的 API 加以利用，如通过向 API 提供数据的 Web 服务。此漏洞也适用于需加载并运行不可信代码（如来自互联网的代码）且安全性依赖于 Java 沙盒的 Java 部署，该部署通常在需在沙盒中运行 Java Web Start 应用程序或需在沙盒中运行 Java 小程序的客户端上。(CVE-2026-21925)

  - Oracle Java SE、Oracle GraalVM for JDK、Oracle Java SE 的 Oracle GraalVM Enterprise Edition 产品中的漏洞（组件：Networking）。支持的版本中受影响的是 Oracle Java SE：8u471、8u471-b50、8u471-perf、11.0.29、17.0.17、21.0.9、25.0.1；Oracle GraalVM for JDK：17.0.17 和 21.0.9；
    Oracle GraalVM Enterprise Edition：21.3.16。此漏洞较容易受到攻击，其允许未经身份验证的攻击者通过多种协议进行网络访问，从而破坏 Oracle Java SE、Oracle GraalVM for JDK、Oracle GraalVM Enterprise Edition。若要成功发动攻击，必须与攻击者以外的其他人进行人工交互；虽然该漏洞存在于 Oracle Java SE、Oracle GraalVM for JDK、Oracle GraalVM Enterprise Edition 中，但攻击可能对其他产品造成重大影响（范围更改）。成功利用此漏洞进行攻击可导致在未经授权的情况下更新、插入或修改部分 Oracle Java SE、Oracle GraalVM for JDK、Oracle GraalVM Enterprise Edition 可访问数据的访问权限，以及未经授权即可读取访问 Oracle Java SE、Oracle GraalVM for JDK、Oracle GraalVM Enterprise Edition 可访问数据的子集。注意：此漏洞可通过使用指定组件中的 API 加以利用，如通过向 API 提供数据的 Web 服务。此漏洞也适用于需加载并运行不可信代码（如来自互联网的代码）且安全性依赖于 Java 沙盒的 Java 部署，该部署通常在需在沙盒中运行 Java Web Start 应用程序或需在沙盒中运行 Java 小程序的客户端上。(CVE-2026-21933)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程主机上安装的 AOS 版本低于 7.5.0.6。因此如公告 NXSA-AOS-7.5.0.6 所述受到多个漏洞的影响。

  - 在 GNU Binutils 中发现一个漏洞 2.45。受影响的元素是组件链接器的库 bfd/elfcode.h 中的函数 elf_swap_shdr。此操纵漏洞会导致基于堆的缓冲区溢出。
    攻击必须在本地进行。该漏洞已被公开并可被使用。修补程序的标识符为 9ca499644a21ceb3f946d1c179c38a83be084490。要修复此问题，建议部署 修补程序。代码维护者回复了 [f]已修复 2.46。 (CVE-2025-11083)

  - urllib.parse.urlsplit() 和 urlparse() 函数未正确验证加括号的主机(“[]”)从而允许非 IPv6 或 IPvFuture 的主机。此行为不符合 RFC 3986，并且如果多个 URL 解析器处理 URL，可能会产生服务器端请求伪造 (SSRF) 漏洞。(CVE-2024-11168)

  - CPython 3.9 和更低版本不允许为 SSLContext.set_npn_protocols() 配置空列表 ([])这对于底层 OpenSSL API 是无效值。这会在使用 NPN 时造成缓冲区过度读取（请参阅 CVE-2024-5535，了解 OpenSSL）。该漏洞是低危问题，原因是 NPN 未得到广泛使用以及指定空列表可能在实践中并不常见（通常会配置协议名称）。(CVE-2024-5642)

  - 未正确引用创建虚拟环境时提供的路径名称时在 CPython “venv” 模块和 CLI 中发现一个漏洞可允许创建者将命令注入虚拟环境激活脚本即来源 venv/bin/activate。这意味着攻击者控制的虚拟环境可在被激活时运行命令。
    非攻击者创建的虚拟环境或在使用前未激活的虚拟环境（即 ./venv/bin/python）不受影响。(CVE-2024-9287)

  - Python 标准库函数“urllib.parse.urlsplit”和“urlparse”接受了包含方括号的域名这根据 RFC 3986 是无效的。方括号仅应用作分隔符，用于在 URL 中指定 IPv6 及 IPvFuture 类型的主机地址。这可能会导致 Python URL 解析器和其他符合规范的 URL 解析器之间出现差异解析。(CVE-2025-0938)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Debian 11 主机上安装的多个程序包受到 dla-4445 公告中提及的多个漏洞影响。

    - ------------------------------------------------------------------------- Debian LTS 公告 DLA-4445-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Andrej Shadura 2026 年 1 月 20 日https://wiki.debian.org/LTS
    - -------------------------------------------------------------------------

    程序包：python3.9 版本：3.9.2-1+deb11u4 CVE ID：CVE-2022-37454 CVE-2025-4516 CVE-2025-6069 CVE-2025-6075 CVE-2025-8194 CVE-2025-8291 CVE-2025-12084 CVE-2025-13836 CVE-2025-13837

    cPython 中的多个安全补丁3.9。

    CVE-2022-37454

        Keccak XKCP SHA-3 实现在 sponge 函数接口中存在整数溢出和缓冲区溢出。这允许攻击者执行任意代码或消除预期的加密属性。

    CVE-2025-4516

        bytes.decode(unicode_escape, error=ignore|replace) 中的问题可导致崩溃。

    CVE-2025-6069

        html.parser.HTMLParser 类在处理某些格式错误的特制输入时存在最坏情况下呈二次复杂度的问题，攻击者可能会借此放大拒绝服务攻击的影响。

    CVE-2025-6075

        如果传递给 os.path.expandvars() 的值由用户控制，扩展环境变量时可能导致性能降低。

    CVE-2025-8194

        tar 实现会处理具有负偏移的 tar 存档而不发生错误，从而在解析恶意构建的 tar 存档的过程中导致无限循环和死锁。

    CVE-2025-8291

        “zipfile”模块不会检查ZIP64中央目录结尾 (EOCD) 定位器记录偏移值的有效性，也不会用于定位 ZIP64EOCD 记录，而是假定 ZIP64EOCD 记录是上一个 ZIP 存档中存在的记录。攻击者可滥用此漏洞创建“zipfile”模块以有别于其他 ZIP 实现的方式处理的 ZIP 存档。

    CVE-2025-12084

        当使用 xml.dom.minidom 方法（例如与 _clear_id_cache() 存在依存关系的 appendChild()）构建嵌套元素时，算法为二次算法。构建过度嵌套的文档时，可用性可能会受到影响。

    CVE-2025-13836

        从服务器读取 HTTP 响应时，如果未指定读取量，则默认行为是使用 Content-Length。这使得恶意服务器能够让客户端将大量数据读取到内存中，可能导致 OOM 或其他 DoS。

    CVE-2025-13837

        加载 plist 文件时，plistlib 模块会按文件本身指定的大小读取数据，这意味着恶意文件可以造成 OOM 和 DoS 问题。

    对于 Debian 11 bullseye，已在 3.9.2-1+deb11u4 版本中修复这些问题。

    我们建议您升级 python3.9 程序包。

    如需了解更多 python3.9 的详细安全状态，请参阅其安全跟踪页面：
    https://security-tracker.debian.org/tracker/python3.9

    有关 Debian LTS 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://wiki.debian.org/LTS

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Ubuntu 18.04 LTS / 20.04 LTS / 22.04 LTS / 24.04 LTS / 24.10 / 25.04 主机上安装的多个程序包受到公告 USN-7570-1 中提及的多个漏洞影响。

    发现 Python 在解码期间未正确处理某些 unicode 字符。攻击者可能会利用此问题发起拒绝服务攻击。(CVE-2025-4516)

    发现 Python 未能正确处理折叠行中含有列表分隔符的电子邮件标头的 unicode 编码。攻击者可能利用此问题泄露敏感信息。
    (CVE-2025-1795)

Tenable 已直接从 Ubuntu 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Azure Linux 3.0 主机上安装的 python3 版本低于 测试的版本。因此，该程序受到 CVE-2025-4516 公告中提及的一个漏洞影响。

  - 使用“bytes.decode(unicode_escape, error=ignore|replace)”时CPython 中存在一个问题。如果您未使用 unicode_escape 编码或错误处理程序，则您的使用不会受到影响。要变通方案解决此问题您可以停止使用 error= 处理程序而将 bytes.decode() 调用包装在捕获 DecodeError 的 try-except 中。 (CVE-2025-4516)

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

远程主机受到 GLSA-202506-07 (Python、PyPy多个漏洞)中所述漏洞的影响

    已在 Python、PyPy3. 中发现多个漏洞。请检查下方引用的 CVE 标识符以了解详细信息。

Tenable 已直接从 Gentoo Linux 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Redhat Enterprise Linux 8 主机上安装的程序包受到 RHSA-2025:23530 公告中提及的多个漏洞的影响。

    Python 是一种解释型、交互式、面向对象的编程语言，包括模块、类、异常、非常高层次的动态数据类型，以及动态输入。Python 支持许多系统调用、库，以及各种窗口系统的接口。

    安全修复：

    * python使用 NPN 时OpenSSL API 的无效值可能导致缓冲区过度读取 (CVE-2024-5642)

    * python：虚拟环境 (venv) 激活脚本不引用路径 (CVE-2024-9287)

    * python：未正确验证 IPv6 和 IPvFuture 地址 (CVE-2024-11168)

    * python：cpython：URL 解析器允许域名中存在方括号 (CVE-2025-0938)

    * cpythonpythonCPython DecodeError 处理漏洞 (CVE-2025-4516)

    * cpython：当 errorlevel=0 时，Tarfile 会提取已过滤成员 (CVE-2025-4435)

    * cpython：python：绕过提取过滤器以链接外部提取目录 (CVE-2025-4330)

    * python：cpython：通过 tarfile realpath 溢出实现任意写入 (CVE-2025-4517)

    * cpython：python：绕过提取过滤器，为提取目录外的任意目标创建符号链接 (CVE-2025-4138)

    * cpythonPython HTMLParser 二次方复杂性 (CVE-2025-6069)

    * cpythonpythonPython zipfile 中央目录结尾 (EOCD) 未检查定位器记录偏移 (CVE-2025-8291)

    * python具有用户控制模板的 os.path.expandvars() 中的二次方复杂性 (CVE-2025-6075)

    有关上述安全问题的更多详细信息，包括其影响、CVSS 得分、致谢，以及其他相关信息，请参阅列于“参考”部分的 CVE 页面。

Tenable 已直接从 Red Hat Enterprise Linux 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
240322	Amazon Linux 2023：python3.12、python3.12-devel、python3.12-idle (ALAS2023-2025-1044)	Nessus	Amazon Linux Local Security Checks	2025/6/23	2026/2/24	critical
279709	Oracle Linux 8python39:3.9 (ELSA-2025-23530)	Nessus	Oracle Linux Local Security Checks	2025/12/24	2026/2/24	medium
305057	Nutanix AOS 多个漏洞 (NXSA-AOS-7.5.1)	Nessus	Misc.	2026/4/6	2026/4/7	medium
241738	Amazon Linux 2：python3 (ALAS-2025-2923)	Nessus	Amazon Linux Local Security Checks	2025/7/10	2026/2/24	medium
252065	Linux Distros 未修补的漏洞：CVE-2025-4516	Nessus	Misc.	2025/8/19	2026/2/3	medium
279551	AlmaLinux 8python39:3.9 (ALSA-2025:23530)	Nessus	Alma Linux Local Security Checks	2025/12/22	2026/2/24	medium
300502	Nutanix AOS 多个漏洞 (NXSA-AOS-7.0.1.14)	Nessus	Misc.	2026/3/4	2026/4/7	medium
282812	MagicLinux 8python39:3.9 (AXSA:2025-11636:01)	Nessus	Miracle Linux Local Security Checks	2026/1/13	2026/2/24	medium
240292	Amazon Linux 2023：python3.11、python3.11-devel、python3.11-idle (ALAS2023-2025-1032)	Nessus	Amazon Linux Local Security Checks	2025/6/23	2025/6/23	medium
240303	Amazon Linux 2023：python3、python3-devel、python3-idle (ALAS2023-2025-1033)	Nessus	Amazon Linux Local Security Checks	2025/6/23	2025/6/23	medium
279075	RockyLinux 8 python39:3.9 (RLSA-2025:23530)	Nessus	Rocky Linux Local Security Checks	2025/12/18	2026/2/24	medium
299799	Nutanix AOS 多个漏洞 (NXSA-AOS-7.3.1.5)	Nessus	Misc.	2026/2/23	2026/4/7	medium
299670	Nutanix AOS 多个漏洞 (NXSA-AOS-7.5.0.6)	Nessus	Misc.	2026/2/20	2026/2/23	medium
294786	Debian dla-4445：idle-python3.9 - 安全更新	Nessus	Debian Local Security Checks	2026/1/20	2026/2/13	medium
240097	Ubuntu 18.04 LTS / 20.04 LTS / 22.04 LTS / 24.04 LTS / 24.10 / 25.04：Python 漏洞 (USN-7570-1)	Nessus	Ubuntu Local Security Checks	2025/6/17	2025/6/17	medium
242352	Azure Linux 3.0 安全更新python3 (CVE-2025-4516)	Nessus	Azure Linux Local Security Checks	2025/7/19	2025/9/15	medium
240468	GLSA-202506-07 Python、PyPy多种漏洞	Nessus	Gentoo Local Security Checks	2025/6/25	2026/2/24	critical
279048	RHEL 8：python39:3.9 (RHSA-2025:23530)	Nessus	Red Hat Local Security Checks	2025/12/18	2026/2/23	medium

检测

插件搜索

critical

medium

medium

medium

medium

medium

medium

medium

medium

medium

medium

medium

medium

medium

medium

medium

critical

medium