There are packages installed that are affected by a vulnerability referenced in the following CVE:

  - ormar is a async mini ORM for Python. Versions 0.23.0 and below are vulnerable to Pydantic validation
    bypass through the model constructor, allowing any unauthenticated user to skip all field validation by
    injecting "__pk_only__": true into a JSON request body. By injecting "__pk_only__": true into a JSON
    request body, an unauthenticated attacker can skip all field validation and persist unvalidated data
    directly to the database. A secondary __excluded__ parameter injection uses the same pattern to
    selectively nullify arbitrary model fields (e.g., email or role) during construction. This affects ormar's
    canonical FastAPI integration pattern recommended in its official documentation, enabling privilege
    escalation, data integrity violations, and business logic bypass in any application using ormar.Model
    directly as a request body parameter. This issue has been fixed in version 0.23.1. (CVE-2026-27953)

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且供應商未提供可用的修補程式。

  - ormar 是適用於 Python 的非同步迷你 ORM。0.23.0 版及之前版本容易透過模型建構函式受到 Pydantic 驗證繞過影響，進而允許任何未經驗證的使用者透過將 __pk_only__: true 插入 JSON 要求內文來跳過所有欄位驗證。透過將 __pk_only__: true 插入 JSON 要求內文，未經驗證的攻擊者可跳過所有欄位驗證，並將未經驗證的資料直接存入資料庫。次要 __excluded__ 參數插入使用相同模式，在建構期間選擇性地使任意模型欄位 (例如電子郵件或角色) 無效。這會影響 ormar 在其官方說明文件中建議的正式 FastAPI 整合模式，進而在使用 ormar.Model 直接作為要求內文參數的任何應用程式中實現特權提升、資料完整性違規和業務邏輯繞過。0.23.1 版已修正此問題。(CVE-2026-27953)

請注意，Nessus 的判定取決於廠商所報告的套件是否存在。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - ormar 是适用于 Python 的异步微型 ORM。版本 0.23.0 和更低版本容易遭受通过模型构造函数造成的 Pydantic 验证绕过漏洞影响，任何未经身份验证的用户均可利用此漏洞，通过将 __pk_only__: true 注入 JSON 请求正文来跳过所有字段验证。通过向 JSON 请求正文注入 __pk_only__: true，未经身份验证的攻击者可跳过所有字段验证，并将未经验证的数据直接存入数据库。次要的 __excluded__ 参数注入可利用相同模式，在构造期间有选择地使任意模型字段（例如电子邮件或角色）无效。这会影响 ormar 官方文档中建议的规范 FastAPI 集成模式，从而在直接使用 ormar.Model 作为请求正文参数的任何应用程序中导致特权提升、数据完整性冲突和业务逻辑绕过。此问题已在 0.23.1 版本中修复。(CVE-2026-27953)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

リモートホストにインストールされている FreeBSD のバージョンは、テスト済みバージョンより前です。したがって、8d549898-3598-11f1-a8bc-3c7c3fba4204 のアドバイザリに記載されている複数の脆弱性の影響を受けます。

    https://github.com/ormar-orm/ormar/security/advisories による報告:

Tenable は、前述の記述ブロックを FreeBSD セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - ormar は Python 用の async ミニ ORM です。バージョン 0.23.0 以降は、モデルコンストラクターを通じた Pydantic 検証バイパスに脆弱であるため、認証されていないユーザーが、__pk_only__: true を JSON リクエスト本文に注入することで、すべてのフィールド検証をスキップすることができます。__pk_only__: true を JSON リクエスト本文に注入することで、認証されていない攻撃者がすべてのフィールド検証をスキップし、検証されていないデータを直接データベースに保持することができます。セカンダリ __excluded__ パラメーターインジェクションは、同じパターンを使用して、構築中に任意のモデルフィールド (メールやロールなど) を選択的に null 化します。これは、公式ドキュメントで推奨されている ormar の正規の FastAPI 統合パターンに影響を与え、ormar.Model をリクエスト本体パラメーターとして直接使用するアプリケーションで権限昇格、データ整合性違反、ビジネスロジックのバイパスを引き起こす可能性があります。この問題はバージョン 0.23.1で修正されています。(CVE-2026-27953)

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

The version of FreeBSD installed on the remote host is prior to tested version. It is, therefore, affected by multiple vulnerabilities as referenced in the 8d549898-3598-11f1-a8bc-3c7c3fba4204 advisory.

    https://github.com/ormar-orm/ormar/security/advisories reports:

Tenable has extracted the preceding description block directly from the FreeBSD security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

The Linux/Unix host has one or more packages installed that are impacted by a vulnerability without a vendor supplied patch available.

  - ormar is a async mini ORM for Python. Versions 0.23.0 and below are vulnerable to Pydantic validation     bypass through the model constructor, allowing any unauthenticated user to skip all field validation by     injecting __pk_only__: true into a JSON request body. By injecting __pk_only__: true into a JSON     request body, an unauthenticated attacker can skip all field validation and persist unvalidated data     directly to the database. A secondary __excluded__ parameter injection uses the same pattern to     selectively nullify arbitrary model fields (e.g., email or role) during construction. This affects ormar's     canonical FastAPI integration pattern recommended in its official documentation, enabling privilege     escalation, data integrity violations, and business logic bypass in any application using ormar.Model     directly as a request body parameter. This issue has been fixed in version 0.23.1. (CVE-2026-27953)

Note that Nessus relies on the presence of the package as reported by the vendor.

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
439104	SCA: security update for ormar (GHSA-f964-whrq-44h8)	Tenable Cloud Security	SCA Checks	2026/3/21	2026/7/2	critical
439104	SCA: security update for ormar (GHSA-f964-whrq-44h8)	Tenable Self-Hosted Container Security	SCA Checks	2026/3/21	2026/7/2	critical
303256	Linux Distros 未修補的弱點：CVE-2026-27953	Nessus	Misc.	2026/3/21	2026/8/1	critical
303256	Linux Distros 未修补的漏洞：CVE-2026-27953	Nessus	Misc.	2026/3/21	2026/8/1	critical
306040	FreeBSD : py-ormar -- 脆弱性 (8d549898-3598-11f1-a8bc-3c7c3fba4204)	Nessus	FreeBSD Local Security Checks	2026/4/12	2026/4/12	critical
303256	Linux Distros のパッチ未適用の脆弱性: CVE-2026-27953	Nessus	Misc.	2026/3/21	2026/8/1	critical
306040	FreeBSD : py-ormar -- vulnerabilities (8d549898-3598-11f1-a8bc-3c7c3fba4204)	Nessus	FreeBSD Local Security Checks	2026/4/12	2026/4/12	critical
303256	Linux Distros Unpatched Vulnerability : CVE-2026-27953	Nessus	Misc.	2026/3/21	2026/8/1	critical

检测

插件搜索

critical

critical

critical

critical

critical

critical

critical

critical