远程 Redhat Enterprise Linux 9 主机上安装的程序包受到 RHSA-2025:23070 公告中提及的一个漏洞影响。

    Red Hat Ansible Automation Platform 为大规模构建、部署和管理 IT 自动化提供了一个企业框架。IT 管理人员可以为如何将自动化应用于各个团队提供全面的指导原则，而自动化开发人员仍然可以自由地利用现有知识编写任务，而不会导致开销增加。Ansible Automation Platform 让整个组织的用户都能够通过简单、强大的无代理语言，共享、审查和管理自动化内容。

    安全修复：

    * Automation-controllerDjango SQL 注入 (CVE-2025-64459)
    * python3.11-djangoDjango SQL 注入 (CVE-2025-64459)

    有关上述安全问题的更多详细信息，包括其影响、CVSS 得分、致谢，以及其他相关信息，请参阅列于“参考”部分的 CVE 页面。

    包含的更新和补丁：

    Automation Platform
    * 现在默认启用 IPv6 和 IPv4/IPv6 双堆栈支持 (AAP-58923)
    * 修复通过 /api/eda/ 或 /api/controller/ 端点分配权限时可发生的服务器错误 (AAP-58622)
    * 已将 automation-gateway 更新为 2.6.20251210
    * 已将 python3.11-django-ansible-base 更新为 2.6.20251210

    Automation Platform UI
    * 修复了在相关联的项目删除后作业模板没有保持可编辑状态的问题 (AAP-58467)
    * 修复了作业详细信息页面上的项目状态更新链接断开的缺陷 (AAP-57215)
    * 修复了从“概览”页面访问“关于”页面时在“关于”页面中缺少品牌徽标的问题 (AAP-57133)
    * 修复了“角色”页面中的“资源类型”筛选器没有正确按资源类型筛选的问题 (AAP-56691)
    * 修复了自动触发项目更新时“启动者”字段在 UI 中显示为空白的问题 (AAP-56643)
    * 已更新 playbook 选择下拉菜单以便在项目中只有一个 playbook 时自动选择 (AAP-56279)
    * 修复清单来源中缺少来源控制分支选项的问题 (AAP-56149)
    * 身份验证器标签已从“Azuread”更新到“Azure AD” (AAP-55677)
    * 修复了如果调查使用 ansible.controller 集合创建默认值则该调查的编辑表单不会显示在 UI 中的缺陷 (AAP-51548)
    * 改进了认证器映射详细信息的标签和描述 (AAP-51295)
    * 修复远程控制器和远程注册表的描述 (AAP-49838)
    * 将 源代码管理分支添加到项目同步作业详细信息 (AAP-49450)
    * 修复了集合超链接在私人自动化中心的卡片视图中中断的问题 (AAP-49006)
    * 修复了在将主机添加到组时搜索功能无法缩小结果范围的问题 (AAP-47510)
    * 改进自定义登录文本以提高可读性并允许使用链接等 HTML 标记 (AAP-47462)
    * 修复了在“添加现有主机”对话框中按主机名筛选无法正常工作的问题 (AAP-45534)
    * 修复了通知中指向工作流作业模板输出的 url (AAP-43796)
    * 搜索过滤器现在可在主机列表内的任何页面上工作 (AAP-42679)
    * 修复了从项目或清单创建新模板未自动填充“项目”字段的问题 (AAP-41725)
    * 修复当用户具有权限时模板选项卡上的权限被拒绝消息产生误导的问题 (AAP-40800)
    * 修复“详细信息”页面中存储库 URL 不正确的问题 (AAP-40160)
    * 修复了一个调查验证问题其中问题的最小长度值可设置为大于长度上限 (AAP-39932)
    * 修复了评估长度时文本被视为数字的调查验证问题 (AAP-39931)
    * 修复了用户无法创建构建清单同步计划的问题 (AAP-38660)
    * 修复了编辑或创建计划时未保存调查答案的问题 (AAP-37923)
    * 修复无法编辑计划上实例群组的缺陷 (AAP-37872)
    * 为 Automation hub 的复选框“仅已签名的集合”和“同步所有依存关系”引入了选项部分 (AAP-36592)
    * 添加关于同步 Automation hub 的存储库之外的依存关系的信息消息 (AAP-36592)
    * 修复了概览视图和详细视图之间的任务时间戳不一致的问题 (AAP-36588)
    * 修复了默认未在创建凭据表单中选中 verify_ssl 复选框的问题 (AAP-33889)
    * 更新了 extra vars 字段中大数字的格式 (AAP-31805)
    * Automation-platform-ui 已更新到 2.6.4

    自动化控制器
    * 将 x-ai-description 添加到控制器方案以便为每个端点提供 AI 友好的描述 (AAP-59819)
    * 修复了长时间运行的作业中的 Redis broken pipe 错误 (AAP-59728)
    * 修复了 GitHub 应用程序安装访问令牌查找以接受 Iv2 客户端 ID (AAP-58880)
    * 已更新控制器现在在同步启用了“允许分支替代”的项目时使用强制标记 (AAP-58533)
    * 已将接收器集合升级到兼容 RHEL 10 的 2.0.8版 (AAP-58421)
    * 为支持 MCP VP 更新了 OpenAPI 规范的多个方面 (AAP-53640)
    * automation-controller 已更新到 4.7.6

    自动化中心
    * 已将自动填写属性添加到 Automation Hub API 密码字段 (AAP-59910)
    * 在启用 API 访问日志记录的情况下继续进行 Automation hub 升级 (AAP-59886)
    * 修复具有团队管理员角色的用户的认证失败 (AAP-58898)
    * automation-hub 已更新到 4.11.4
    * python3.11-galaxy-importer 已更新到 0.4.36
    * python3.11-galaxy-ng 已更新到 4.11.4

    事件驱动型 Ansible
    * 添加 x-ai-description 至 EDA 端点以供 AAP MCP 服务器消耗 (AAP-58431)
    * automation-eda-controller 已更新到 1.2.3

    基于容器的 Ansible Automation Platform
    * 修复了卸载/重新安装接收器作业后由于仍然存在同名的过时已退出容器而无法启动的问题 (AAP-59609)
    * 根据系统资源为运行 AAP 服务容器的用户配置 podman PID 限制、用于 inotify 和内核密钥的 sysctls以及 ulimit nofile (AAP-59438)
    * 容器化安装程序设置已更新为 2.6-4

    其他变更
    * Ansible 开发工具现在可用于 RHEL 10
    * ansible-builder 已更新到 3.1.1
    * ansible-creator 已更新到 25.12.0
    * ansible-dev-environment 已更新到 25.12.2
    * ansible-dev-tools 已更新到 25.12.0
    * ansible-lint 已更新到 25.12.0
    * ansible-navigator 已更新到 25.12.0
    * ansible-sign 已更新到 0.1.4
    * bindep 已更新到 2.13.0
    * molecule 已更新到 25.12.0
    * python3.11-ansible-compat 已更新到 25.12.0
    * python3.11-distlib 已更新到 0.4.0
    * 已将 python3.11-django 更新至 4.2.26
    * python3.11-execnet 已更新到 2.1.2
    * python3.11-gunicorn 已更新到 23.0.0
    * python3.11-pluggy 已更新到 1.6.0
    * python3.11-pytest 已更新到 9.0.1
    * python3.11-pytest-ansible 已更新到 25.12.0
    * python3.11-pytest-xdist 已更新到 3.8.0
    * python3.11-ruamel-yaml-clib 已更新到 0.2.15
    * python3.11-subprocess-tee 已更新到 0.4.2
    * python3.11-tox-ansible 已更新到 25.12.0
    * python3.11-typing-extensions 已更新到 4.15.0

Tenable 已直接从 Red Hat Enterprise Linux 安全公告中提取上述描述块。

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Ubuntu 20.04 LTS / 22.04 LTS / 24.04 / 25.04 / 25.10 LTS 主机上安装的程序包受到 USN-7859-1 公告中提及的漏洞的影响。

    发现 Django 未能正确处理查询中的某些字符。攻击者可能利用此问题执行任意 SQL 命令。

Tenable 已直接从 Ubuntu 安全公告中提取上述描述块。

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Debian 11 主机上存在安装的程序包该程序包受到 dla-4425 公告中提及的多个漏洞的影响。

    - ------------------------------------------------- ------------------------ Debian LTS 公告 DLA-4425-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Chris Lamb 2025 年 12 月 29 日 https://wiki.debian.org/LTS
    - -------------------------------------------------------------------------

    程序包python-django 版本 2:2.2.28-1~deb11u10 CVE ID CVE-2025-64459 CVE-2025-64460 Debian 缺陷1121788

    发现基于 Python 的 Web 开发框架 Django 中存在两个问题

     * CVE-2025-64459可能通过 QuerySet/Q 对象中的 _connector 关键字参数进行 SQL 注入。使用适当构建的字典作为 _connector 参数时QuerySet filter()、exclude() 和 get() 方法以及 Q() 类会受到 SQL 注入。

     * CVE-2025-64460XML 序列化程序文本提取中潜在的拒绝服务漏洞。django.core.serializers.xml_serializer.getInnerText() 中的算法复杂性问题允许远程攻击者通过提交到调用 XML Deserializer 的服务的特别构建的 XML 输入来造成潜在的拒绝服务触发 CPU 和内存耗尽。该漏洞源于递归收集文本节点时的重复字符串连接可产生超线性计算。

    对于 Debian 11 Bullseye这些问题已在版本 2:2.2.28-1~deb11u10 中修复。

    我们建议您升级 python-django 程序包。

    如需了解 python-django 的详细安全状态，请参阅其安全跟踪页面：
    https://security-tracker.debian.org/tracker/python-django

    有关 Debian LTS 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://wiki.debian.org/LTS

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Redhat Enterprise Linux 8/9 主机上安装的多个程序包受到 RHSA-2025:23069 公告中提及的多个漏洞影响。

    Red Hat Ansible Automation Platform 为大规模构建、部署和管理 IT 自动化提供了一个企业框架。IT 管理人员可以为如何将自动化应用于各个团队提供全面的指导原则，而自动化开发人员仍然可以自由地利用现有知识编写任务，而不会导致开销增加。Ansible Automation Platform 让整个组织的用户都能够通过简单、强大的无代理语言，共享、审查和管理自动化内容。

    安全修复：

    * Automation-controllerDjango SQL 注入 (CVE-2025-64459)
    * python3.11-djangoDjango SQL 注入 (CVE-2025-64459)
    *自动化-eda-controllerAAP EDA 事件流中的敏感内部标头泄露 (CVE-2025-9908)
    * Automation-eda-controller事件流测试模式暴露 AAP EDA 中的敏感标头 (CVE-2025-9907)
    * Automation-gateway网关中的不当路径验证允许凭据外泄 (CVE-2025-9909)
    * Automation-gateway通过缺少数据大小检查导致的 Axios DoS (CVE-2025-58754)
    *接受器由于 HANDSHAKE_DONE 帧提早导致 quic-go 崩溃 (CVE-2025-59530)

    有关上述安全问题的更多详细信息，包括其影响、CVSS 得分、致谢，以及其他相关信息，请参阅列于“参考”部分的 CVE 页面。

    包含的更新和补丁：

    Automation Platform
    * 修复了多种属性的使用 和 条件。之前身份验证映射会跳过缺少的属性使用此补丁仅当所有属性都存在且满足条件时才会应用映射 (AAP-53523)
    * 添加了对订阅管理初始页面的 UI 更改 (AAP-47864)
    * 修复了作业模板在相关联的项目删除后就无法保持可编辑状态的问题 (AAP-58474)
    * 已将 automation-gateway 更新为 2.5.20251210
    * 已将 python3.11-django-ansible-base 更新为 2.5.20251210

    Automation Controller
    * 修复作业在默认未安装 python 3.9 且启用 fapolicyd 的系统上失败的问题 (AAP-58479)
    * 修复接收器中的一个问题某些边缘情况造成 JSON 无法解析 (AAP-57253)
    * 修复了 GitHub 应用程序安装访问令牌查找以接受 Iv2 客户端 ID (AAP-58882)
    * 已更新控制器现在在同步启用了“允许分支替代”的项目时使用强制标记 (AAP-58532)
    * 修复了长时间运行的作业中的 Redis broken pipe 错误 (AAP-59727)
    * 修复了 main_unifiedjobtemplate.org_unique 列不存在迁移错误 (AAP-56221)
    * ansible-runner 已更新到 2.4.2
    * automation-controller 已更新到 4.6.23
    * Automation-controller-fapolicyd 已更新到 1.0-5
    * 已将 receptor 更新为 1.6.2

    Automation Hub
    * 向 Automation Hub API 密码字段添加了自动填写属性 (AAP-59912)
    * automation-hub 已更新到 4.10.10
    * python3.11-galaxy-ng 已更新到 4.10.10
    * python3.11-galaxy-importer 已更新到 0.4.36

    事件驱动型 Ansible
    * 添加了 mTLS 事件流的凭据类型 (AAP-55786)
    * 修复了 redis_tls 不支持 yes/no 等布尔值的问题 (AAP-52828)
    * automation-eda-controller 已更新到 1.1.14

    基于容器的 Ansible Automation Platform
    * 修复了 podman 5.6 与自动化控制器容器配置的兼容性 (AAP-58546)
    * 从 EDA 设置文件中删除了 EVENT_STREAM_MTLS_BASE_URL避免了使用 eda_extra_settings 变量时的重复条目 (AAP-57587)
    * RHEL 最低版本已更新至 9.4 (AAP-56386)
    * nginx 已更新到 1.24 (AAP-56203)
    * 容器化安装程序设置已更新到 2.5-21

    基于 RPM 的 Ansible Automation Platform
    * 修复清单中没有 Automation Hub 节点时安装程序在执行环境图像上传期间失败的问题 (AAP-57122)
    * RHEL 最低版本已更新到 8.10 和 9.4 (AAP-56386)
    * nginx 已更新到 1.24 (AAP-56205)
    * ansible-automation-platform-installer 和安装程序设置已更新为 2.5-20

    其他变更
    * ansible-builder 已更新到 3.1.1
    * ansible-creator 已更新到 25.12.0
    * ansible-dev-environment 已更新到 25.12.2
    * ansible-dev-tools 已更新到 25.12.0
    * ansible-lint 已更新到 25.12.0
    * ansible-navigator 已更新到 25.12.0
    * ansible-sign 已更新到 0.1.4
    * bindep 已更新到 2.13.0
    * molecule 已更新到 25.12.0
    * python3.11-ansible-compat 已更新到 25.12.0
    * python3.11-distlib 已更新到 0.4.0
    * 已将 python3.11-django 更新至 4.2.26
    * python3.11-execnet 已更新到 2.1.2
    * python3.11-gunicorn 已更新到 23.0.0
    * python3.11-pluggy 已更新到 1.6.0
    * python3.11-pytest 已更新到 9.0.1
    * python3.11-pytest-ansible 已更新到 25.12.0
    * python3.11-pytest-xdist 已更新到 3.8.0
    * python3.11-ruamel-yaml-clib 已更新到 0.2.15
    * python3.11-subprocess-tee 已更新到 0.4.2
    * python3.11-tox-ansible 已更新到 25.12.0
    * python3.11-typing-extensions 已更新到 4.15.0

Tenable 已直接从 Red Hat Enterprise Linux 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Debian 13 主机上安装的多个程序包受到 dsa-6117 公告中提及的多个漏洞影响。

    - ------------------------------------------------------------------------- Debian 安全公告 DSA-6117-1 security@debian.org https://www.debian.org/security/Moritz Muehlenhoff 2026 年 1 月 31 日 https://www.debian.org/security/faq
    - -------------------------------------------------------------------------

    程序包: python-django CVE ID : CVE-2025-13372 CVE-2025-57833 CVE-2025-59681 CVE-2025-59682 CVE-2025-64459 CVE-2025-64460

    在 Python 网页开发框架 Django 中发现多个安全问题，这些问题可导致 SQL 注入、目录遍历或拒绝服务。

    对于稳定发行版本 (trixie)，已在版本 3:4.2.27-0+deb13u1 中修复这些问题。

    我们建议您升级 python-django 程序包。

    如需了解 python-django 的详细安全状态，请参阅其安全跟踪页面：
    https://security-tracker.debian.org/tracker/python-django

    有关 Debian 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://www.debian.org/security/

    邮件列表：debian-security-announce@lists.debian.org

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Debian 12 主机上安装的多个程序包受到 dsa-6136 公告中提及的多个漏洞影响。

    - ------------------------------------------------------------------------- Debian 安全公告 DSA-6136-1 security@debian.org https://www.debian.org/security/Moritz Muehlenhoff 2026 年 2 月 15 日 https://www.debian.org/security/faq
    - -------------------------------------------------------------------------

    程序包: python-django CVE ID : CVE-2023-41164 CVE-2023-43665 CVE-2024-24680 CVE-2024-27351 CVE-2024-39329 CVE-2024-39330 CVE-2024-39614 CVE-2024-41989 CVE-2024-41991 CVE-2024-42005 CVE-2024-45231 CVE-2024-53907 CVE-2024-56374 CVE-2025-13372 CVE-2025-26699 CVE-2025-32873 CVE-2025-48432 CVE-2025-57833 CVE-2025-59681 CVE-2025-59682 CVE-2025-64459 CVE-2025-64460

    Python Web 开发框架 Django 中发现了多个安全问题，可能导致拒绝服务、信息泄露、目录遍历或 SQL 注入。

    对于旧稳定发行版本 (bookworm)，已在版本 3:3.2.25-0+deb12u1 中修复这些问题。 python-django-storages 也需要更新以确保持续兼容性 (1.13.2-1+deb12u1)。

    我们建议您升级 python-django 程序包。

    如需了解 python-django 的详细安全状态，请参阅其安全跟踪页面：
    https://security-tracker.debian.org/tracker/python-django

    有关 Debian 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://www.debian.org/security/

    邮件列表：debian-security-announce@lists.debian.org

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
278140	RHEL 9Red Hat Ansible Automation Platform 2.6 产品安全和缺陷补丁更新重要[RHSA-2025:23070)	Nessus	Red Hat Local Security Checks	2025/12/10	2025/12/10	critical
274387	Ubuntu 20.04 LTS / 22.04 LTS / 24.04 LTS / 25.04 / 25.10 Django 漏洞 (USN-7859-1)	Nessus	Ubuntu Local Security Checks	2025/11/7	2026/1/21	critical
280137	Debian dla-4425python-django-doc - 安全更新	Nessus	Debian Local Security Checks	2025/12/30	2025/12/30	medium
278146	RHEL 8/9：Red Hat Ansible Automation Platform 2.5 产品安全和缺陷修复更新（重要）(RHSA-2025:23069)	Nessus	Red Hat Local Security Checks	2025/12/10	2025/12/10	critical
297437	Debian dsa-6117 : python-django-doc - 安全更新	Nessus	Debian Local Security Checks	2026/1/31	2026/1/31	medium
299143	Debian dsa-6136：python-django-doc - 安全更新	Nessus	Debian Local Security Checks	2026/2/15	2026/2/15	critical

检测

插件搜索

critical

critical

medium

critical

medium

critical