远程主机上安装的 Oracle Essbase 版本缺少 2025 年 10 月关键修补程序更新 (CPU) 中的一个安全修补程序。因此，该应用程序会受到以下漏洞的影响：

  - Oracle Essbase 中的漏洞组件Security and Provisioning (Bouncy Castle Java Library)。支持的版本中受影响的是 21.7.3.0.0。可轻松利用的漏洞允许未经身份验证的攻击者通过 HTTPS 访问网络，从而破坏 Oracle Essbase。成功攻击此漏洞可导致在未经授权的情况下造成 Oracle Essbase 部分拒绝服务部分 DOS。 (CVE-2025-8916)

  - Oracle Essbase 中的漏洞组件Security and Provisioning (Nimbus JOSE+JWT)。支持的版本中受影响的是 21.7.3.0.0。轻松利用的漏洞允许具有网络访问权限的未经身份验证的攻击者通过 HTTP 危害 Oracle Essbase。虽然漏洞存在于 Oracle Essbase 中但攻击也可对其他产品造成重大影响范围变更。成功攻击此漏洞可导致在未经授权的情况下造成 Oracle Essbase 部分拒绝服务部分 DOS。 (CVE-2025-53864)

  - Oracle Essbase 中的漏洞组件：Essbase Web Platform。支持的版本中受影响的是 21.7.3.0.0。可轻松利用的漏洞允许低权限攻击者通过 HTTP 进行网络访问从而破坏 Oracle Essbase。成功攻击此漏洞可导致在未经授权的情况下创建、删除或修改关键数据或所有 Oracle Essbase 可访问数据以及未经授权访问关键数据或完全访问所有 Oracle Essbase 可访问数据。 (CVE-2025-61763) 请注意Nessus 并未针对这些问题进行测试而仅依赖应用程序自我报告的版本号。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - 在 ESAPI esapi-java-legacy 中发现漏洞并归类为有问题的漏洞。此问题影响 SQL 注入防御的接口 Encoder.encodeForSQL。攻击导致不正确地无效化特殊元素。攻击可从远程发起且已向公开披露一个可遭利用的漏洞。
    我们尽早就此问题联系了该项目团队并且他们以非常专业的方式进行了处理。升级到 2.7.0.0 版本可解决此问题。提交 ID f75ac2c2647a81d2cfbdc9c899f8719c240ed512 默认情况下禁用 该功能任何使用该功能的尝试都将触发警告。提交 ID e2322914304d9b1c52523ff24be495b7832f6a56 正在更新误导性的 Java 类文档以警告有关风险。 (CVE-2025-5878)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

远程 Debian 11 主机上存在安装的程序包该程序包受到 dla-4246 公告中提及的多个漏洞的影响。

    -------------------------------------------------- ----------------------- Debian LTS 公告 DLA-4246-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Markus Koschany 2025 年 7 月 22 日 https://wiki.debian.org/LTS-------------------------------------------------------------------------

    程序包libowasp-esapi-java 版本2.4.0.0-0+deb11u1 CVE ID CVE-2022-23457 CVE-2022-24891 CVE-2025-5878 Debian 缺陷10103391109378

    在 libowasp-esapi-java一种 Java Enterprise Security API 中发现数个安全漏洞。

    CVE-2022-23457:

        ESAPI (OWASP Enterprise Security API) 是一个免费的开源 Web 应用程序安全控件库。在此更新之前“Validator.getValidDirectoryPath(String, String, File, boolean)”的默认实现可能错误地将测试的输入字符串视为指定父目录的子目录。如果攻击可以指定表示“输入”路径的完整字符串则其可能允许控制流绕过检查遭到破坏。

    CVE-2022-24891:

        在 ESAPI 中可能存在跨站脚本漏洞原因是 ESAPI 中 onsiteURL 的错误正则表达式。
        **antisamy-esapi.xml** 配置文件可造成无法正确清理 javascriptURL。

    CVE-2025-5878:

        此问题影响 SQL 注入防御的接口 Encoder.encodeForSQL。攻击导致不正确地无效化特殊元素。我们不知道 Debian 中的任何受影响的反向依存关系但是如果您在独立的项目中使用 ESAPI您应该注意Encoder.encodeForSQL 方法已被弃用并且最终将被删除。此外DB2Codec、MySQLCodec 和 OracleCodec 类也已被弃用。建议仔细评估 项目是否会受到这些类和方法的影响以及是否必须实施其他步骤来保护应用程序。此更新不会自动保护您免受任何潜在风险。

    对于 Debian 11 Bullseye已在 2.4.0.0-0+deb11u1 版本中修复这些问题。

    我们建议您升级 libowasp-esapi-java 程序包。

    有关 libowasp-esapi-java 的详细安全状态请参阅其安全跟踪页面网址
    https://security-tracker.debian.org/tracker/libowasp-esapi-java

    有关 Debian LTS 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://wiki.debian.org/LTSAttachment:signature.ascDescription: 此消息部分已经过数字签署

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

如 2025 年 10 月 CPU 公告所述远程主机上安装的 Primavera Unifier 版本受到多个漏洞的影响。

  - Oracle Construction and Engineering 组件 Platform (Enterprise Security API for Java旧版)的 Primavera Unifier 产品中存在漏洞。支持的版本中受影响的是 20.12.0-20.12.16、21.12.0-21.12.17、22.12.0-22.12.15、23.12.0-23.12.15 和 24.12.0-24.12.9。轻松利用的漏洞可允许具有网络访问权限的未经身份验证的攻击者通过 HTTPS 危害 Primavera Unifier。成功攻击此漏洞可导致在未经授权的情况下更新、插入或删除某些 Primavera Unifier 可访问数据的访问权限，以及在未经授权的情况下读取访问 Primavera Unifier 可访问数据子集，并且可在未经授权的情况下造成 Primavera Unifier 部分拒绝服务（部分 DOS）。(CVE-2025-5878)

  - Oracle Construction and Engineering 的 Primavera Unifier 产品中的漏洞组件Document Management (FreeType)。支持的版本中受影响的是 20.12.0-20.12.16、21.12.0-21.12.17、22.12.0-22.12.15、23.12.0-23.12.15 和 24.12.0-24.12.9。难以利用的漏洞允许具有网络访问权限的未经身份验证的攻击者通过 HTTP 危害 Primavera Unifier。成功攻击此漏洞可导致接管 Primavera Unifier。(CVE-2025-27363)

  - Oracle Construction and Engineering 的 Primavera Unifier 产品中的漏洞组件Document Management (Apache Commons FileUpload)。支持的版本中受影响的是 20.12.0-20.12.16、21.12.0-21.12.17、22.12.0-22.12.15、23.12.0-23.12.15 和 24.12.0-24.12.9。可轻松利用的漏洞允许未经身份验证的攻击者通过 HTTP 进行网络访问，从而破坏 Primavera Unifier。成功攻击此漏洞可导致在未经授权的情况下使 Primavera Unifier 挂起或频繁崩溃（完全 DOS）。(CVE-2025-48976)

  - Oracle Construction and Engineering 的 Primavera Unifier 产品中的漏洞组件Platform (Apache Commons Lang)。支持的版本中受影响的是 20.12.0-20.12.16、21.12.0-21.12.17、22.12.0-22.12.15、23.12.0-23.12.15 和 24.12.0-24.12.9。利用此漏洞的难度较小，未经身份验证的攻击者可通过 HTTP 进行网络访问，从而破坏 Primavera Unifier。成功攻击此漏洞可导致在未经授权的情况下造成 Primavera Unifier 部分拒绝服务（部分 DOS）。(CVE-2025-48924)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
271378	Oracle Essbase 多个漏洞2025 年 10 月 CPU	Nessus	Misc.	2025/10/24	2025/10/25	high
247283	Linux Distros 未修补的漏洞：CVE-2025-5878	Nessus	Misc.	2025/8/10	2025/10/14	medium
242493	Debian dla-4246libowasp-esapi-java - 安全更新	Nessus	Debian Local Security Checks	2025/7/22	2025/7/22	medium
271244	Oracle Primavera Unifier2025 年 10 月 CPU	Nessus	CGI abuses	2025/10/23	2025/10/30	medium

检测

插件搜索

high

medium

medium

medium