The version of Oracle Essbase installed on the remote host is missing a security patch from the October 2025 Critical Patch Update (CPU). It is, therefore, affected by:

  - Vulnerability in Oracle Essbase (component: Security and Provisioning (Bouncy Castle Java Library)). The     supported version that is affected is 21.7.3.0.0. Easily exploitable vulnerability allows unauthenticated     attacker with network access via HTTPS to compromise Oracle Essbase. Successful attacks of this     vulnerability can result in unauthorized ability to cause a partial denial of service (partial DOS) of     Oracle Essbase. (CVE-2025-8916)

  - Vulnerability in Oracle Essbase (component: Security and Provisioning (Nimbus JOSE+JWT)). The supported     version that is affected is 21.7.3.0.0. Easily exploitable vulnerability allows unauthenticated attacker     with network access via HTTP to compromise Oracle Essbase. While the vulnerability is in Oracle Essbase,     attacks may significantly impact additional products (scope change). Successful attacks of this     vulnerability can result in unauthorized ability to cause a partial denial of service (partial DOS) of     Oracle Essbase. (CVE-2025-53864)

  - Vulnerability in Oracle Essbase (component: Essbase Web Platform). The supported version that is     affected is 21.7.3.0.0. Easily exploitable vulnerability allows low privileged attacker with network     access via HTTP to compromise Oracle Essbase. Successful attacks of this vulnerability can result in     unauthorized creation, deletion or modification access to critical data or all Oracle Essbase accessible     data as well as unauthorized access to critical data or complete access to all Oracle Essbase accessible     data. (CVE-2025-61763)   Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

リモートホストにインストールされている Oracle Essbase のバージョンに、2025 年 10 月 Critical Patch Update (CPU) からのセキュリティパッチがありません。したがって、以下の影響を受けます。

  - Oracle Essbaseの脆弱性コンポーネントセキュリティおよびプロビジョニングBouncy Castle Javaライブラリ。サポートされているバージョンで影響を受けるのは 21.7.3.0.0 です。容易に悪用可能な脆弱性があり、認証されていない攻撃者が HTTPS を介してネットワークにアクセスし、Oracle Essbase を侵害する可能性があります。この脆弱性に対する攻撃が成功すると、Oracle Essbaseの部分的なサービス拒否部分的DOSが権限なしで引き起こされる可能性があります。CVE-2025-8916

  - Oracle Essbaseの脆弱性コンポーネントセキュリティおよびプロビジョニングNimbus JOSE+JWT。サポートされているバージョンで影響を受けるのは 21.7.3.0.0 です。容易に悪用できる脆弱性により、ネットワークアクセス権を持つ認証されていない攻撃者が、HTTPを介してOracle Essbaseを侵害する可能性があります。Oracle Essbase に脆弱性がありますが、攻撃が他の製品に大きな影響を与える可能性があります範囲変更。この脆弱性に対する攻撃が成功すると、Oracle Essbaseの部分的なサービス拒否部分的DOSが権限なしで引き起こされる可能性があります。CVE-2025-53864

  - Oracle Essbase の脆弱性コンポーネント Essbase Web Platform。サポートされているバージョンで影響を受けるのは 21.7.3.0.0 です。容易に悪用できる脆弱性により、ネットワークアクセス権を持つ権限の低い攻撃者が、HTTPを介してOracle Essbaseを侵害する可能性があります。この脆弱性に対する攻撃が成功すると、重要なデータまたはOracle Essbaseがアクセスできるすべてのデータに権限なしで作成、削除、変更され、重要なデータに権限なしでアクセスできるようになったり、Oracle Essbaseがアクセスできるすべてのデータに権限なしでアクセスできるようになったりします。 NessusはこれらのCVE-2025-61763問題のテストを行っておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

遠端主機上安裝的 Oracle Essbase 版本缺少 2025 年 10 月重大修補程式更新 (CPU) 的安全性修補程式。因此，此應用程式會受到以下弱點影響：

  - Oracle Essbase (元件Security and Provisioning (Bouncy Castle Java Library)) 中的弱點。受影響的支援版本是 21.7.3.0.0。攻擊此弱點的難度較小，經由 HTTPS 存取網路的未經驗證的攻擊者可藉此入侵 Oracle Essbase。成功攻擊此弱點可導致未經授權即可造成 Oracle Essbase 部分拒絕服務 (部分 DOS)。 (CVE-2025-8916)

  - Oracle Essbase (元件Security and Provisioning (Nimbus JOSE+JWT)) 中的弱點。受影響的支援版本是 21.7.3.0.0。此弱點可輕易攻擊成功能夠透過 HTTP 存取網路的未經驗證攻擊者可藉以入侵 Oracle Essbase。雖然弱點位於 Oracle Essbase 中但攻擊可能對其他產品造成重大影響 (範圍變更)。成功攻擊此弱點可導致未經授權即可造成 Oracle Essbase 部分拒絕服務 (部分 DOS)。 (CVE-2025-53864)

  - Oracle Essbase (元件Essbase Web Platform) 中的弱點。受影響的支援版本是 21.7.3.0.0。可輕鬆惡意利用的弱點允許具有網路存取權的低權限攻擊者透過 HTTP 來入侵 Oracle Essbase。成功攻擊此弱點可導致未經授權地建立、刪除或修改重要資料或所有可供存取之 Oracle Essbase 資料的存取權以及未經授權地存取重要資料或完整存取所有 Oracle Essbase 資料。 (CVE-2025-61763) 請注意Nessus 並未測試這些問題而是僅依據應用程式自我報告的版本號碼。

远程主机上安装的 Oracle Essbase 版本缺少 2025 年 10 月关键修补程序更新 (CPU) 中的一个安全修补程序。因此，该应用程序会受到以下漏洞的影响：

  - Oracle Essbase 中的漏洞组件Security and Provisioning (Bouncy Castle Java Library)。支持的版本中受影响的是 21.7.3.0.0。可轻松利用的漏洞允许未经身份验证的攻击者通过 HTTPS 访问网络，从而破坏 Oracle Essbase。成功攻击此漏洞可导致在未经授权的情况下造成 Oracle Essbase 部分拒绝服务部分 DOS。 (CVE-2025-8916)

  - Oracle Essbase 中的漏洞组件Security and Provisioning (Nimbus JOSE+JWT)。支持的版本中受影响的是 21.7.3.0.0。轻松利用的漏洞允许具有网络访问权限的未经身份验证的攻击者通过 HTTP 危害 Oracle Essbase。虽然漏洞存在于 Oracle Essbase 中但攻击也可对其他产品造成重大影响范围变更。成功攻击此漏洞可导致在未经授权的情况下造成 Oracle Essbase 部分拒绝服务部分 DOS。 (CVE-2025-53864)

  - Oracle Essbase 中的漏洞组件：Essbase Web Platform。支持的版本中受影响的是 21.7.3.0.0。可轻松利用的漏洞允许低权限攻击者通过 HTTP 进行网络访问从而破坏 Oracle Essbase。成功攻击此漏洞可导致在未经授权的情况下创建、删除或修改关键数据或所有 Oracle Essbase 可访问数据以及未经授权访问关键数据或完全访问所有 Oracle Essbase 可访问数据。 (CVE-2025-61763) 请注意Nessus 并未针对这些问题进行测试而仅依赖应用程序自我报告的版本号。

The Linux/Unix host has one or more packages installed that are impacted by a vulnerability without a vendor supplied patch available.

  - A vulnerability was found in ESAPI esapi-java-legacy and classified as problematic. This issue affects the     interface Encoder.encodeForSQL of the SQL Injection Defense. An attack leads to an improper neutralization     of special elements. The attack may be initiated remotely and an exploit has been disclosed to the public.
    The project was contacted early about this issue and handled it with an exceptional level of     professionalism. Upgrading to version 2.7.0.0 is able to address this issue. Commit ID     f75ac2c2647a81d2cfbdc9c899f8719c240ed512 is disabling the feature by default and any attempt to use it     will trigger a warning. And commit ID e2322914304d9b1c52523ff24be495b7832f6a56 is updating the misleading     Java class documentation to warn about the risks. (CVE-2025-5878)

Note that Nessus relies on the presence of the package as reported by the vendor.

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - ESAPI esapi-java-legacy に脆弱性が見つかり、問題があるものに分類されました。この問題は、SQL インジェクション防御のインターフェース Encoder.encodeForSQL に影響を与えます。攻撃は、特別な要素の不適切な中立化につながります。攻撃はリモートで開始され、悪用が一般に漏洩しています。
    プロジェクトはこの問題について早期に連絡され、例外的なレベルの専門性で処理されました。バージョン 2.7.0.0 にアップグレードすると、この問題に対処できます。コミット ID f75ac2c2647a81d2cfbdc9c899f8719c240ed512 はこの機能をデフォルトで無効にしており、これを使用しようとすると警告が発生します。コミット ID e2322914304d9b1c52523ff24be495b7832f6a56 は、リスクについて警告するために誤解を招く Java クラスのドキュメントを更新しています。CVE-2025-5878

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且供應商未提供可用的修補程式。

  - 在 ESAPI esapi-java-legacy 中發現一個弱點且分類為有問題。此問題會影響 SQL 插入防禦的 Encoder.encodeForSQL 介面。攻擊導致不當中和特殊元素。攻擊可能從遠端起始且一個惡意利用已公開洩漏。
    專案已就此問題及早聯絡過該專案並以超凡的專業水平加以處理。升級至 2.7.0.0 版可解決此問題。認可 ID f75ac2c2647a81d2cfbdc9c899f8719c240ed512 預設為停用此功能且任何嘗試使用該功能都會觸發警告。認可 ID e2322914304d9b1c52523ff24be495b7832f6a56 將更新誤導的 Java 類別文件以警告風險。 (CVE-2025-5878)

請注意，Nessus 依賴供應商報告的套件存在。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - 在 ESAPI esapi-java-legacy 中发现漏洞并归类为有问题的漏洞。此问题影响 SQL 注入防御的接口 Encoder.encodeForSQL。攻击导致不正确地无效化特殊元素。攻击可从远程发起且已向公开披露一个可遭利用的漏洞。
    我们尽早就此问题联系了该项目团队并且他们以非常专业的方式进行了处理。升级到 2.7.0.0 版本可解决此问题。提交 ID f75ac2c2647a81d2cfbdc9c899f8719c240ed512 默认情况下禁用 该功能任何使用该功能的尝试都将触发警告。提交 ID e2322914304d9b1c52523ff24be495b7832f6a56 正在更新误导性的 Java 类文档以警告有关风险。 (CVE-2025-5878)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

The remote Debian 11 host has a package installed that is affected by multiple vulnerabilities as referenced in the dla-4246 advisory.

    -------------------------------------------------------------------------     Debian LTS Advisory DLA-4246-1                debian-lts@lists.debian.org     https://www.debian.org/lts/security/                      Markus Koschany     July 22, 2025                                 https://wiki.debian.org/LTS
    -------------------------------------------------------------------------

    Package        : libowasp-esapi-java     Version        : 2.4.0.0-0+deb11u1     CVE ID         : CVE-2022-23457 CVE-2022-24891 CVE-2025-5878     Debian Bug     : 1010339 1109378

    Several security vulnerabilities have been discovered in libowasp-esapi-java,     a Java Enterprise Security API.

    CVE-2022-23457:

        ESAPI (The OWASP Enterprise Security API) is a free, open source, web         application security control library. Prior to this update the default         implementation of `Validator.getValidDirectoryPath(String, String, File,         boolean)` may incorrectly treat the tested input string as a child of the         specified parent directory. This potentially could allow control-flow         bypass checks to be defeated if an attack can specify the entire string         representing the 'input' path.

    CVE-2022-24891:

        There is a potential for a cross-site scripting vulnerability in ESAPI         caused by a incorrect regular expression for onsiteURL in the
        **antisamy-esapi.xml** configuration file that can cause javascript: URLs         to fail to be correctly sanitized.

    CVE-2025-5878:

        This issue affects the interface Encoder.encodeForSQL of the         SQL Injection Defense. An attack leads to an improper neutralization of         special elements. We are not aware of any affected reverse-dependencies in         Debian but if you use ESAPI in a stand-alone project, you should be aware         that the Encoder.encodeForSQL method has been deprecated and will be         removed eventually. In addition the DB2Codec, MySQLCodec and OracleCodec         classes have been deprecated too. We recommend to carefully assess if         your project might be affected by these classes and methods and if you have         to implement additional steps to secure your application. The update does         not automatically protect you from any potential risks.

    For Debian 11 bullseye, these problems have been fixed in version     2.4.0.0-0+deb11u1.

    We recommend that you upgrade your libowasp-esapi-java packages.

    For the detailed security status of libowasp-esapi-java please refer to     its security tracker page at:
    https://security-tracker.debian.org/tracker/libowasp-esapi-java

    Further information about Debian LTS security advisories, how to apply     these updates to your system and frequently asked questions can be     found at: https://wiki.debian.org/LTS     Attachment:
    signature.asc     Description: This is a digitally signed message part

Tenable has extracted the preceding description block directly from the Debian security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

The versions of Primavera Unifier installed on the remote host are affected by multiple vulnerabilities as referenced in the October 2025 CPU advisory.

  - Vulnerability in the Primavera Unifier product of Oracle Construction and Engineering (component: Platform     (Enterprise Security API for Java (Legacy))). Supported versions that are affected are 20.12.0-20.12.16,     21.12.0-21.12.17, 22.12.0-22.12.15, 23.12.0-23.12.15 and 24.12.0-24.12.9. Easily exploitable vulnerability     allows unauthenticated attacker with network access via HTTPS to compromise Primavera Unifier. Successful     attacks of this vulnerability can result in unauthorized update, insert or delete access to some of     Primavera Unifier accessible data as well as unauthorized read access to a subset of Primavera Unifier     accessible data and unauthorized ability to cause a partial denial of service (partial DOS) of Primavera     Unifier. (CVE-2025-5878)

  - Vulnerability in the Primavera Unifier product of Oracle Construction and Engineering (component: Document     Management (FreeType)). Supported versions that are affected are 20.12.0-20.12.16, 21.12.0-21.12.17,     22.12.0-22.12.15, 23.12.0-23.12.15 and 24.12.0-24.12.9. Difficult to exploit vulnerability allows     unauthenticated attacker with network access via HTTP to compromise Primavera Unifier. Successful attacks     of this vulnerability can result in takeover of Primavera Unifier. (CVE-2025-27363)

  - Vulnerability in the Primavera Unifier product of Oracle Construction and Engineering (component: Document     Management (Apache Commons FileUpload)). Supported versions that are affected are 20.12.0-20.12.16,     21.12.0-21.12.17, 22.12.0-22.12.15, 23.12.0-23.12.15 and 24.12.0-24.12.9. Easily exploitable vulnerability     allows unauthenticated attacker with network access via HTTP to compromise Primavera Unifier. Successful     attacks of this vulnerability can result in unauthorized ability to cause a hang or frequently repeatable     crash (complete DOS) of Primavera Unifier. (CVE-2025-48976)

  - Vulnerability in the Primavera Unifier product of Oracle Construction and Engineering (component: Platform     (Apache Commons Lang)). Supported versions that are affected are 20.12.0-20.12.16, 21.12.0-21.12.17,     22.12.0-22.12.15, 23.12.0-23.12.15 and 24.12.0-24.12.9. Easily exploitable vulnerability allows     unauthenticated attacker with network access via HTTP to compromise Primavera Unifier. Successful attacks     of this vulnerability can result in unauthorized ability to cause a partial denial of service (partial     DOS) of Primavera Unifier. (CVE-2025-48924)

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

リモートのDebian 11ホストには、dla-4246アドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    -------------------------------------------------- ----------------------- Debian LTS アドバイザリ DLA-4246-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Markus Koschany 2025 年 7 月 22 日 https://wiki.debian.org/LTS-------------------------------------------------------------------------

    パッケージ libowasp-esapi-java バージョン 2.4.0.0-0+deb11u1 CVE ID CVE-2022-23457 CVE-2022-24891 CVE-2025-5878 Debian バグ1010339 1109378

    Java Enterprise Security API である libowasp-esapi-java に複数のセキュリティの脆弱性が発見されました。

    CVE-2022-23457:

        ESAPI (OWASP Enterprise Security API) は、無料のオープンソースのウェブアプリケーションセキュリティコントロールライブラリです。この更新より前の「Validator.getValidDirectoryPath(String, String, File, boolean)」のデフォルト実装は、テストされた入力文字列を指定された親ディレクトリの子として不適切に扱う可能性があります。これにより、攻撃者が「入力」パスを表す文字列全体を指定できる場合、制御フローバイパスチェックを無効にできる可能性があります。

    CVE-2022-24891:

        ESAPI にクロスサイトスクリプティングの脆弱性の可能性があります。これは、
        **antisamy-esapi.xml** 構成ファイルにより、javascript: URL を正しくサニタイズできません。

    CVE-2025-5878:

        この問題は、SQL インジェクション防御のインターフェース Encoder.encodeForSQL に影響を与えます。攻撃は、特別な要素の不適切な中立化につながります。Debian で影響を受ける逆依存関係は認識されていませんが、スタンドアロンプロジェクトで ESAPI を使用している場合は、Encoder.encodeForSQL メソッドが廃止され、最終的に削除されることに留意してください。さらに、DB2Codec、MySQLCodec および OracleCodec のクラスも廃止されました。プロジェクトがこれらのクラスとメソッドの影響を受けるかどうか、およびアプリケーションを保護するために追加のステップを実装する必要があるかどうかを、慎重に評価することを推奨しています。の更新は、潜在的なリスクから自動的に保護されません。

    Debian 11 Bullseyeでは、これらの問題はバージョン2.4.0.0-0+deb11u1で修正されました。

    libowasp-esapi-java パッケージをアップグレードすることを推奨します。

    libowasp-esapi-java の詳細なセキュリティステータスについては、次のセキュリティトラッカーページを参照してください
    https://security-tracker.debian.org/tracker/libowasp-esapi-java

    Debian LTS セキュリティアドバイザリに関する詳細、これらの更新をシステムに適用する方法、およびよくある質問については、こちらを参照してください。https://wiki.debian.org/LTSAttachment:signature.ascDescription: これはデジタル署名されたメッセージ部分です

Tenable は、前述の説明ブロックを Debian セキュリティアドバイザリから直接抽出しました。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートホストにインストールされているPrimavera Unifierのバージョンは、2025年10月のCPUアドバイザリに記載されている複数の脆弱性の影響を受けます。

  - Oracle Construction and EngineeringのPrimavera Unifier製品の脆弱性コンポーネントプラットフォームEnterprise Security API for Javaレガシー。サポートされているバージョンで影響を受けるのは、20.12.0-20.12.16、21.12.0-21.12.17、22.12.0-22.12.15、23.12.0-23.12.15 および 24.12.0-24.12.9です。容易に悪用できる脆弱性により、ネットワークアクセス権を持つ認証されていない攻撃者が、HTTPS経由でPrimavera Unifierを侵害する可能性があります。この脆弱性を利用した攻撃が成功すると、一部のPrimavera Unifierアクセス可能データに対する承認されていない更新、挿入、削除アクセス、Primavera Unifierアクセス可能データのサブセットに対する承認されていない読み取りアクセス、およびPrimavera Unifierの部分的なサービス拒否（部分的なDOS）を引き起こす承認されていない機能につながる可能性があります。（CVE-2025-5878）

  - Oracle Construction and Engineering の Primavera Unifier製品の脆弱性コンポーネントDocument ManagementFreeType。サポートされているバージョンで影響を受けるのは、20.12.0-20.12.16、21.12.0-21.12.17、22.12.0-22.12.15、23.12.0-23.12.15 および 24.12.0-24.12.9です。悪用が難しい脆弱性ですが、認証されていない攻撃者がHTTPを介してネットワークにアクセスし、Primavera Unifierを侵害する可能性があります。この脆弱性に対する攻撃が成功すると、Primavera Unifier の乗っ取りが発生する可能性があります。(CVE-2025-27363)

  - Oracle Construction and EngineeringのPrimavera Unifier製品にある脆弱性コンポーネントDocument ManagementApache Commons FileUpload サポートされているバージョンで影響を受けるのは、20.12.0-20.12.16、21.12.0-21.12.17、22.12.0-22.12.15、23.12.0-23.12.15 および 24.12.0-24.12.9です。容易に悪用可能な脆弱性があり、認証されていない攻撃者が HTTP を使用してネットワークにアクセスし、Primavera Unifier を侵害する可能性があります。この脆弱性に対する攻撃が成功すると、Primavera Unifier をハングさせたり、頻繁にクラッシュを繰り返させたりする (完全な DOS) 可能性があります。(CVE-2025-48976)

  - Oracle Construction and EngineeringのPrimavera Unifier製品の脆弱性コンポーネントプラットフォームApache Commons Lang サポートされているバージョンで影響を受けるのは、20.12.0-20.12.16、21.12.0-21.12.17、22.12.0-22.12.15、23.12.0-23.12.15 および 24.12.0-24.12.9です。容易に悪用可能な脆弱性があり、認証されていない攻撃者が HTTP を使用してネットワークにアクセスし、Primavera Unifier を侵害する可能性があります。この脆弱性により攻撃が成功すると、Primavera Unifier の部分的なサービス拒否 (部分的な DOS) が権限なしに引き起こされる可能性があります。(CVE-2025-48924)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

远程 Debian 11 主机上存在安装的程序包该程序包受到 dla-4246 公告中提及的多个漏洞的影响。

    -------------------------------------------------- ----------------------- Debian LTS 公告 DLA-4246-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Markus Koschany 2025 年 7 月 22 日 https://wiki.debian.org/LTS-------------------------------------------------------------------------

    程序包libowasp-esapi-java 版本2.4.0.0-0+deb11u1 CVE ID CVE-2022-23457 CVE-2022-24891 CVE-2025-5878 Debian 缺陷10103391109378

    在 libowasp-esapi-java一种 Java Enterprise Security API 中发现数个安全漏洞。

    CVE-2022-23457:

        ESAPI (OWASP Enterprise Security API) 是一个免费的开源 Web 应用程序安全控件库。在此更新之前“Validator.getValidDirectoryPath(String, String, File, boolean)”的默认实现可能错误地将测试的输入字符串视为指定父目录的子目录。如果攻击可以指定表示“输入”路径的完整字符串则其可能允许控制流绕过检查遭到破坏。

    CVE-2022-24891:

        在 ESAPI 中可能存在跨站脚本漏洞原因是 ESAPI 中 onsiteURL 的错误正则表达式。
        **antisamy-esapi.xml** 配置文件可造成无法正确清理 javascriptURL。

    CVE-2025-5878:

        此问题影响 SQL 注入防御的接口 Encoder.encodeForSQL。攻击导致不正确地无效化特殊元素。我们不知道 Debian 中的任何受影响的反向依存关系但是如果您在独立的项目中使用 ESAPI您应该注意Encoder.encodeForSQL 方法已被弃用并且最终将被删除。此外DB2Codec、MySQLCodec 和 OracleCodec 类也已被弃用。建议仔细评估 项目是否会受到这些类和方法的影响以及是否必须实施其他步骤来保护应用程序。此更新不会自动保护您免受任何潜在风险。

    对于 Debian 11 Bullseye已在 2.4.0.0-0+deb11u1 版本中修复这些问题。

    我们建议您升级 libowasp-esapi-java 程序包。

    有关 libowasp-esapi-java 的详细安全状态请参阅其安全跟踪页面网址
    https://security-tracker.debian.org/tracker/libowasp-esapi-java

    有关 Debian LTS 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://wiki.debian.org/LTSAttachment:signature.ascDescription: 此消息部分已经过数字签署

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

如 2025 年 10 月 CPU 公告所述远程主机上安装的 Primavera Unifier 版本受到多个漏洞的影响。

  - Oracle Construction and Engineering 组件 Platform (Enterprise Security API for Java旧版)的 Primavera Unifier 产品中存在漏洞。支持的版本中受影响的是 20.12.0-20.12.16、21.12.0-21.12.17、22.12.0-22.12.15、23.12.0-23.12.15 和 24.12.0-24.12.9。轻松利用的漏洞可允许具有网络访问权限的未经身份验证的攻击者通过 HTTPS 危害 Primavera Unifier。成功攻击此漏洞可导致在未经授权的情况下更新、插入或删除某些 Primavera Unifier 可访问数据的访问权限，以及在未经授权的情况下读取访问 Primavera Unifier 可访问数据子集，并且可在未经授权的情况下造成 Primavera Unifier 部分拒绝服务（部分 DOS）。(CVE-2025-5878)

  - Oracle Construction and Engineering 的 Primavera Unifier 产品中的漏洞组件Document Management (FreeType)。支持的版本中受影响的是 20.12.0-20.12.16、21.12.0-21.12.17、22.12.0-22.12.15、23.12.0-23.12.15 和 24.12.0-24.12.9。难以利用的漏洞允许具有网络访问权限的未经身份验证的攻击者通过 HTTP 危害 Primavera Unifier。成功攻击此漏洞可导致接管 Primavera Unifier。(CVE-2025-27363)

  - Oracle Construction and Engineering 的 Primavera Unifier 产品中的漏洞组件Document Management (Apache Commons FileUpload)。支持的版本中受影响的是 20.12.0-20.12.16、21.12.0-21.12.17、22.12.0-22.12.15、23.12.0-23.12.15 和 24.12.0-24.12.9。可轻松利用的漏洞允许未经身份验证的攻击者通过 HTTP 进行网络访问，从而破坏 Primavera Unifier。成功攻击此漏洞可导致在未经授权的情况下使 Primavera Unifier 挂起或频繁崩溃（完全 DOS）。(CVE-2025-48976)

  - Oracle Construction and Engineering 的 Primavera Unifier 产品中的漏洞组件Platform (Apache Commons Lang)。支持的版本中受影响的是 20.12.0-20.12.16、21.12.0-21.12.17、22.12.0-22.12.15、23.12.0-23.12.15 和 24.12.0-24.12.9。利用此漏洞的难度较小，未经身份验证的攻击者可通过 HTTP 进行网络访问，从而破坏 Primavera Unifier。成功攻击此漏洞可导致在未经授权的情况下造成 Primavera Unifier 部分拒绝服务（部分 DOS）。(CVE-2025-48924)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

遠端 Debian 11 主機安裝了一個套件其受到 dla-4246 公告中所提及的多個弱點影響。

    -------------------------------------------------- ----------------------- Debian LTS 公告 DLA-4246-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Markus Koschany 2025 年 7 月 22 日 https://wiki.debian.org/LTS-------------------------------------------------------------------------

    套件 版本 2.4.0.0-0+deb11u1 CVE ID CVE-2022-23457 CVE-2022-24891 CVE-2025-5878 Debian 錯誤 1010339 1109378

    在 libowasp-esapi-java (一種 Java 企業安全性 API) 中發現數個安全性弱點。

    CVE-2022-23457：

        ESAPI (OWASP Enterprise Security API) 是免費、開放原始碼的 web 應用程式安全性控製程式庫。在此更新之前「Validator.getValidDirectoryPath(String, String, File, boolean)」的預設實作可能會不正確地將測試過的輸入字串視為指定父目錄的子目錄。如果攻擊者可指定代表「input」路徑的完整字串這可能會讓控制流程繞過檢查失敗。

    CVE-2022-24891：

        ESAPI 中可能會出現一個跨網站指令碼弱點這是因為在
        **antisamy-esapi.xml** 設定檔可造成 javascript: URL 無法正確清理。

    CVE-2025-5878：

        此問題會影響 SQL 插入防禦的 Encoder.encodeForSQL 介面。攻擊導致不當中和特殊元素。我們未發現 Debian 中有任何受影響的反向相依性但如果您在獨立專案中使用 ESAPI則應該知道 Encoder.encodeForSQL 方法已過時且最終將被移除。此外DB2Codec、MySQLCodec 和 OracleCodec 類別也已過時。建議您仔細評估您的專案是否會受到這些類別和方法影響以及是否必須實作其他步驟來保護您的應用程式。此更新不會自動保護您免受任何潛在風險的影響。

    針對 Debian 11 Bullseye這些問題已在 2.4.0.0-0+deb11u1 版本中修正。

    建議您升級 libowasp-esapi-java 套件。

    如需 libowasp-esapi-java 安全性狀態的詳細資訊請參閱其安全性追踪頁面
    https://security-tracker.debian.org/tracker/libowasp-esapi-java

    有關 Debian LTS 安全公告、如何將這些更新套用至您的系統以及常見問題的詳細資訊，請參閱：https://wiki.debian.org/LTSAttachment:signature.ascDescription: 這是數位簽署的訊息部分

Tenable 已直接從 Debian 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端主機上安裝的 Primavera Unifier 版本受到 2025 年 10 月 CPU 公告中所提及的多個弱點影響。

  - Oracle Construction and Engineering (元件Platform (Enterprise Security API for Java (Legacy))) 中 Primavera Unifier 產品中的弱點。受影響的支援版本是 20.12.0-20.12.16、21.12.0-21.12.17、22.12.0-22.12.15、23.12.0-23.12.15 和 24.12.0-24.12.9。可輕鬆惡意利用的弱點允許具有網路存取權的未經驗證的攻擊者透過 HTTPS 來入侵 Primavera Unifier。若成功攻擊此弱點，則可在未經授權的情況下地更新、插入或刪除某些 Primavera Unifier 可存取資料，在未經授權的情況下讀取 Primavera Unifier 可存取資料的子集，並能夠造成 Primavera Unifier 部分拒絕服務 (部分 DOS)。(CVE-2025-5878)

  - Oracle Construction and Engineering (元件Document Management (FreeType)) 中 Primavera Unifier 產品中的弱點。受影響的支援版本是 20.12.0-20.12.16、21.12.0-21.12.17、22.12.0-22.12.15、23.12.0-23.12.15 和 24.12.0-24.12.9。難以惡意利用的弱點允許具有網路存取權的未經驗證攻擊者透過 HTTP 來入侵 Primavera Unifier。若成功攻擊此弱點，可導致 Primavera Unifier 被接管。(CVE-2025-27363)

  - Oracle Construction and Engineering (元件Document Management (Apache Commons FileUpload)) 的 Primavera Unifier 產品中的弱點。受影響的支援版本是 20.12.0-20.12.16、21.12.0-21.12.17、22.12.0-22.12.15、23.12.0-23.12.15 和 24.12.0-24.12.9。攻擊此弱點的難度較小，經由 HTTP 存取網路的未經驗證攻擊者可藉此入侵 Primavera Unifier。若成功攻擊此弱點，可能導致攻擊者在未經授權的情況下，造成 Primavera Unifier 懸置或經常重複性當機 (完全 DOS)。(CVE-2025-48976)

  - Oracle Construction and Engineering (元件Platform (Apache Commons Lang)) 的 Primavera Unifier 產品中的弱點。受影響的支援版本是 20.12.0-20.12.16、21.12.0-21.12.17、22.12.0-22.12.15、23.12.0-23.12.15 和 24.12.0-24.12.9。攻擊此弱點的難度較小，經由 HTTP 存取網路的未經驗證攻擊者可藉此入侵 Primavera Unifier。若攻擊成功，攻擊者未經授權即可造成 Primavera Unifier 部分拒絕服務 (部分 DOS)。(CVE-2025-48924)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
271378	Oracle Essbase Multiple Vulnerabilities (October 2025 CPU)	Nessus	Misc.	2025/10/24	2025/10/25	high
271378	Oracle Essbase の複数の脆弱性2025 年 10 月 CPU	Nessus	Misc.	2025/10/24	2025/10/25	high
271378	Oracle Essbase 多個弱點 (2025 年 10 月 CPU)	Nessus	Misc.	2025/10/24	2025/10/25	high
271378	Oracle Essbase 多个漏洞2025 年 10 月 CPU	Nessus	Misc.	2025/10/24	2025/10/25	high
247283	Linux Distros Unpatched Vulnerability : CVE-2025-5878	Nessus	Misc.	2025/8/10	2025/10/14	medium
247283	Linux Distros のパッチ未適用の脆弱性: CVE-2025-5878	Nessus	Misc.	2025/8/10	2025/10/14	medium
247283	Linux Distros 未修補的弱點：CVE-2025-5878	Nessus	Misc.	2025/8/10	2025/10/14	medium
247283	Linux Distros 未修补的漏洞：CVE-2025-5878	Nessus	Misc.	2025/8/10	2025/10/14	medium
242493	Debian dla-4246 : libowasp-esapi-java - security update	Nessus	Debian Local Security Checks	2025/7/22	2025/7/22	medium
271244	Oracle Primavera Unifier (October 2025 CPU)	Nessus	CGI abuses	2025/10/23	2025/10/30	medium
242493	Debian dla-4246 : libowasp-esapi-java - セキュリティ更新	Nessus	Debian Local Security Checks	2025/7/22	2025/7/22	medium
271244	Oracle Primavera Unifier2025年10月CPU	Nessus	CGI abuses	2025/10/23	2025/10/30	medium
242493	Debian dla-4246libowasp-esapi-java - 安全更新	Nessus	Debian Local Security Checks	2025/7/22	2025/7/22	medium
271244	Oracle Primavera Unifier2025 年 10 月 CPU	Nessus	CGI abuses	2025/10/23	2025/10/30	medium
242493	Debian dla-4246libowasp-esapi-java - 安全性更新	Nessus	Debian Local Security Checks	2025/7/22	2025/7/22	medium
271244	Oracle Primavera Unifier (2025 年 10 月 CPU)	Nessus	CGI abuses	2025/10/23	2025/10/30	medium

检测

插件搜索

high

high

high

high

medium

medium

medium

medium

medium

medium

medium

medium

medium

medium

medium

medium