There are packages installed that are affected by a vulnerability referenced in the following CVE:

  - Flask-HTTPAuth provides Basic, Digest and Token HTTP authentication for Flask routes. Prior to version
    4.8.1, in a situation where the client makes a request to a token protected resource without passing a
    token, or passing an empty token, Flask-HTTPAuth would invoke the application's token verification
    callback function with the token argument set to an empty string. If the application had any users in its
    database with an empty string set as their token, then it could potentially authenticate the client
    request against any of those users. This issue has been patched in version 4.8.1. (CVE-2026-34531)

远程 Debian 11 主机上存在安装的程序包，该程序包受到 DLA-4605 公告中提及的漏洞的影响。

    ------------------------------------------------------------------------- Debian LTS 公告 debian-lts@lists.debian.org DLA-4605-1https://www.debian.org/lts/security/Emmanuel arias 2026 年 5 月 28 日 https://wiki.debian.org/LTS-------------------------------------------------------------------------

    程序包：python-flask-httpauth 版本：3.2.4-3.1+deb11u1 CVE ID： CVE-2026-34531 Debian 缺陷：1132581

    在 python-flask-httpauth（用于简化 Flask 路由使用 HTTP 身份验证的 Flask 扩展）中发现一个漏洞，如果客户端未传递令牌或传递空令牌，即向受标记保护的资源发出请求，或者传递空令牌的情况下，python-flask-httpauth 会调用应用程序的令牌验证回调函数，并将令牌参数设置为空字符串。如果应用程序的数据库中有任何将空字符串设置为其标记的用户，则其可能会针对这些用户中的任何一个用户对客户端请求进行认证。

    对于 Debian 11 bullseye，此问题已在 3.2.4-3.1+deb11u1 版本中修复。

    建议您升级 python-flask-httpauth 程序包。

    若要了解更多 python-flask-httpauth 的详细安全状态，请参阅其安全跟踪页面：
    https://security-tracker.debian.org/tracker/python-flask-httpauth

    有关 Debian LTS 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://wiki.debian.org/LTSAttachment:signature.ascDescription: PGP signature

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - Flask-HTTPAuth 为 Flask 路由提供基本、摘要和标记 HTTP 身份验证。在版本 4.8.1之前，如果客户端对受令牌保护的资源发起请求，但未传递令牌或传递空令牌，Flask-HTTPAuth 会调用应用程序的令牌验证回调函数，并将令牌参数设置为空字符串。如果应用程序的数据库中有任何将空字符串设置为其标记的用户，则其可能会针对这些用户中的任何一个用户对客户端请求进行认证。已在版本 4.8.1 中修补此问题。(CVE-2026-34531)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且供應商未提供可用的修補程式。

  - Flask-HTTPAuth 為 Flask 路由提供基本、摘要和權杖 HTTP 驗證。在版本 4.8.1之前，在用戶端向受權杖保護的資源提出要求而不傳遞權杖或傳遞空權杖的情況下，Flask-HTTPAuth 會叫用應用程式的權杖驗證回呼函式，並將權杖引數設為空字串。如果應用程式的資料庫中有任何使用者，且將空字串設定為權杖，則可能會針對任何這些使用者驗證用戶端要求。此問題已在 4.8.1 版中修正。(CVE-2026-34531)

請注意，Nessus 依賴供應商報告的套件存在。

遠端 Debian 11 主機已安裝的套件會受到 dla-4605 公告中所述弱點的影響。

    ------------------------------------------------------------------------- Debian LTS 公告 DLA-4605-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Emmanuel Arias 2026 年 5 月 28 日 https://wiki.debian.org/LTS-------------------------------------------------------------------------

    套件 ： python-flask-httpauth 版本 ： 3.2.4-3.1+deb11u1 CVE ID ： CVE-2026-34531 Debian 錯誤 ： 1132581

    在 python-flask-httpauth 中發現一個弱點，python-flask-httpauth 是一個 Flask 擴充功能，可簡化 HTTP 驗證與 Flask 路由的使用，在用戶端向受權杖保護的資源發出要求而未傳遞權杖或傳遞空權杖的情況下，python-flask-httpauth 會叫用應用程式的權杖驗證回呼函式，並將權杖引數設為空字串。如果應用程式的資料庫中有任何使用者，且將空字串設定為權杖，則可能會針對任何這些使用者驗證用戶端要求。

    對於 Debian 11 bullseye，此問題已在 3.2.4-3.1+deb11u1 版本中修復。

    建議您升級 python-flask-httpauth 套件。

    有關 python-flask-httpauth 的詳細安全性狀態，請參閱其安全性追蹤器頁面：
    https://security-tracker.debian.org/tracker/python-flask-httpauth

    有關 Debian LTS 安全公告、如何將這些更新套用至您的系統以及常見問題的詳細資訊，請參閱：https://wiki.debian.org/LTSAttachment:signature.ascDescription: PGP 簽章

Tenable 已直接從 Debian 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - Flask-HTTPAuthは、FlaskルートのBasic、Digest、Token HTTP認証を提供します。バージョン 4.8.1より前では、クライアントがトークンを渡したり、空のトークンを渡したりせずに、トークンで保護されたリソースにリクエストを行う状況では、Flask-HTTPAuthは、トークン引数を空の文字列に設定してアプリケーションのトークン検証コールバック関数を呼び出します。アプリケーションのデータベースに、トークンとして空の文字列が設定されたユーザーがいた場合、それらのユーザーに対してクライアントリクエストが認証される可能性があります。この問題には、バージョン 4.8.1 でパッチが適用されています。(CVE-2026-34531)

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

リモートの Fedora 44 ホストには、FEDORA-2026-fd53570465 のアドバイザリに記載された脆弱性の影響を受けるパッケージがインストールされています。

    バージョン 4.8.1 への更新（#2454342）

Tenable は、前述の記述ブロックを Fedora セキュリティアドバイザリから直接抽出しています。

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートの Fedora 43 ホストには、FEDORA-2026-04d6f223e0 のアドバイザリに記載された脆弱性の影響を受けるパッケージがインストールされています。

    バージョン 4.8.1 への更新（#2454342）

Tenable は、前述の記述ブロックを Fedora セキュリティアドバイザリから直接抽出しています。

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートのDebian 11ホストには、dla-4605アドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    ------------------------------------------------------------------------- Debian LTS アドバイザリ DLA-4605-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Emmanuel Arias 2026 年 5 月 28 日 https://wiki.debian.org/LTS-------------------------------------------------------------------------

    パッケージ:python-flask-httpauth バージョン:3.2.4-3.1+deb11u1 CVE ID: CVE-2026-34531 Debian バグ:1132581

    FlaskルートによるHTTP認証の使用を簡素化するFlask拡張機能であるHTTP拡張機能であるpython-flask-httpauthに脆弱性が見つかりました。クライアントがトークンを渡したり、空のトークンを渡したりせずにトークンで保護されたリソースにリクエストを行う状況で、python-flask-httpauthは、トークン引数を空の文字列に設定してアプリケーションのトークン検証コールバック関数を呼び出します。アプリケーションのデータベースに、トークンとして空の文字列が設定されたユーザーがいた場合、それらのユーザーに対してクライアントリクエストが認証される可能性があります。

    Debian 11 bullseye では、この問題はバージョン 3.2.4-3.1+deb11u1 で修正されました。

    python-flask-httpauth パッケージをアップグレードすることを推奨します。

    python-flask-httpauth の詳細なセキュリティステータスについては、次のセキュリティマッカーのページを参照してください:
    https://security-tracker.debian.org/tracker/python-flask-httpauth

    Debian LTS セキュリティアドバイザリに関する詳細、これらの更新をシステムに適用する方法、およびよくある質問については、こちらを参照してください。https://wiki.debian.org/LTSAttachment:signature.ascDescription: PGP 署名

Tenable は、前述の説明ブロックを Debian セキュリティアドバイザリから直接抽出しました。

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

The Linux/Unix host has one or more packages installed that are impacted by a vulnerability without a vendor supplied patch available.

  - Flask-HTTPAuth provides Basic, Digest and Token HTTP authentication for Flask routes. Prior to version     4.8.1, in a situation where the client makes a request to a token protected resource without passing a     token, or passing an empty token, Flask-HTTPAuth would invoke the application's token verification     callback function with the token argument set to an empty string. If the application had any users in its     database with an empty string set as their token, then it could potentially authenticate the client     request against any of those users. This issue has been patched in version 4.8.1. (CVE-2026-34531)

Note that Nessus relies on the presence of the package as reported by the vendor.

The remote Debian 11 host has packages installed that are affected by a vulnerability as referenced in the dla-4605 advisory.

    -------------------------------------------------------------------------     Debian LTS Advisory DLA-4605-1                debian-lts@lists.debian.org     https://www.debian.org/lts/security/                       Emmanuel Arias     May 28, 2026                                  https://wiki.debian.org/LTS
    -------------------------------------------------------------------------

    Package        : python-flask-httpauth     Version        : 3.2.4-3.1+deb11u1     CVE ID         : CVE-2026-34531     Debian Bug     : 1132581

    A vulnerability was found in python-flask-httpauth, a Flask extension that     simplifies the use of HTTP authentication with Flask routes, that in a situation     where the client makes a request to a token protected resource without passing a     token, or passing an empty token, python-flask-httpauth would invoke the     application's token verification callback function with the token argument set     to an empty string. If the application had any users in its database with an     empty string set as their token, then it could potentially authenticate the     client request against any of those users.

    For Debian 11 bullseye, this problem has been fixed in version     3.2.4-3.1+deb11u1.

    We recommend that you upgrade your python-flask-httpauth packages.

    For the detailed security status of python-flask-httpauth please refer to     its security tracker page at:
    https://security-tracker.debian.org/tracker/python-flask-httpauth

    Further information about Debian LTS security advisories, how to apply     these updates to your system and frequently asked questions can be     found at: https://wiki.debian.org/LTS     Attachment:
    signature.asc     Description: PGP signature

Tenable has extracted the preceding description block directly from the Debian security advisory.

Note that Nessus has not tested for this issue but has instead relied only on the application's self-reported version number.

The remote Fedora 43 host has a package installed that is affected by a vulnerability as referenced in the FEDORA-2026-04d6f223e0 advisory.

    Update to version 4.8.1 (#2454342)

Tenable has extracted the preceding description block directly from the Fedora security advisory.

Note that Nessus has not tested for this issue but has instead relied only on the application's self-reported version number.

The remote Fedora 44 host has a package installed that is affected by a vulnerability as referenced in the FEDORA-2026-fd53570465 advisory.

    Update to version 4.8.1 (#2454342)

Tenable has extracted the preceding description block directly from the Fedora security advisory.

Note that Nessus has not tested for this issue but has instead relied only on the application's self-reported version number.

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
439542	SCA: security update for Flask-HTTPAuth (GHSA-p44q-vqpr-4xmg)	Tenable Cloud Security	SCA Checks	2026/4/1	2026/7/6	high
439542	SCA: security update for Flask-HTTPAuth (GHSA-p44q-vqpr-4xmg)	Tenable Self-Hosted Container Security	SCA Checks	2026/4/1	2026/7/6	high
317441	Debian DLA-4605：python-flask-httpauth-doc - 安全更新	Nessus	Debian Local Security Checks	2026/5/28	2026/5/28	high
304754	Linux Distros 未修补的漏洞：CVE-2026-34531	Nessus	Misc.	2026/4/3	2026/5/29	high
304754	Linux Distros 未修補的弱點：CVE-2026-34531	Nessus	Misc.	2026/4/3	2026/5/29	high
317441	Debian dla-4605 ： python-flask-httpauth-doc - 安全性更新	Nessus	Debian Local Security Checks	2026/5/28	2026/5/28	high
304754	Linux Distros のパッチ未適用の脆弱性: CVE-2026-34531	Nessus	Misc.	2026/4/3	2026/5/29	high
310536	Fedora 44 : python-flask-httpauth (2026-fd53570465)	Nessus	Fedora Local Security Checks	2026/4/27	2026/4/27	high
306618	Fedora 43python-flask-httpauth2026-04d6f223e0	Nessus	Fedora Local Security Checks	2026/4/16	2026/4/17	high
317441	Debian dla-4605:python-flask-httpauth-doc - セキュリティ更新	Nessus	Debian Local Security Checks	2026/5/28	2026/5/28	high
304754	Linux Distros Unpatched Vulnerability : CVE-2026-34531	Nessus	Misc.	2026/4/3	2026/5/29	high
317441	Debian dla-4605 : python-flask-httpauth-doc - security update	Nessus	Debian Local Security Checks	2026/5/28	2026/5/28	high
306618	Fedora 43 : python-flask-httpauth (2026-04d6f223e0)	Nessus	Fedora Local Security Checks	2026/4/16	2026/4/17	high
310536	Fedora 44 : python-flask-httpauth (2026-fd53570465)	Nessus	Fedora Local Security Checks	2026/4/27	2026/4/27	high

检测

插件搜索

high

high

high

high

high

high

high

high

high

high

high

high

high

high