远程主机上安装的 Spring Framework 版本为低于 5.3.49 的 5.3.x、低于 6.1.28 的 6.1.x、低于 6.2.18.1 的 6.2.x 或低于 7.0.7.1 的 7.0.x。因此，该应用程序受到多个漏洞的影响：

  - spring-websocket 模块中 WebSocket 会话的 ID 在密码学上并非不可预测，可能结合不充分的授权规则来利用此问题。（CVE-2026-41838）

  - 如果攻击者能够提供模式，然后直接或间接提供给 AntPathMatcher 中的下列方法之一，则应用程序可能容易遭受正则表达式拒绝服务 （ReDoS） 攻击：
    match、matchStart、extractUriTemplateVariables。（CVE-2026-41848）

  - 在不受信任的 JMS 环境中，org.springframework.jms.support.converter.MappingJackson2MessageConverter 和 org.springframework.jms.support.converter.JacksonJsonMessageConverter 允许任意类实例化，这可通过小工具类反序列化导致未经授权的操作。（CVE-2026-41855）

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程主机上安装的 AOS 版本低于 7.6.0.6。因此，如公告 NXSA-AOS-7.6.0.6 所述，受到多个漏洞的影响。

  - 在不受信任的 JMS 环境中，org.springframework.jms.support.converter.MappingJackson2MessageConverter 和 org.springframework.jms.support.converter.JacksonJsonMessageConverter 允许任意类实例化，这可通过小工具类反序列化导致未经授权的操作。受影响的版本：
    弹簧框架 7.0.0 通过 ; 通过 ; 6.2.0 通过 6.2.18; 6.1.0 通过 6.1.27。 5.3.05.3.487.0.7
    (CVE-2026-41855)

  - before3.8.163.9、before3.9.10、before 3.10.9 的 3.10 Postfix 有时允许缓冲区过度读取和进程崩溃，方法是通过在第三个数字之后缺少文本的增强状态代码。（CVE-2026-43964）

  - 在 Apache Log4j API 中进行 MapMessage JSON 序列化期间对非有限浮点值的不当编码会产生非有效 JSON 的输出。此问题会影响 Apache Log4j API 的所有2.25.4版本2.13.1和版本2.26.0。的 CVE-2026-34481 补丁并未涵盖所有代码路径：当 MapMessage 包含非有限 IEEE 754 值（NaN、Infinity 或 -Infinity）时，MapMessage.asJson（） 会发出相应的裸标记。RFC 8259 不允许这些标记，因此合规的解析器会拒绝生成的文档。只有当以下两个条件都成立时，才能访问此缺陷：* 应用程序使用 JsonTemplateLayout 的消息解析器 https://logging.apache.org/log4j/2.x/manual/json-template-layout.html#event-template-resolver-message ，或依赖 MapMessage.asJson（） 或 MapMessage.getFormattedMessage（new String[]{JSON}） 的任何其他布局。 * 应用程序记录的 MapMessage 包含攻击者控制的浮点值。能够提供非有限值的攻击者可造成受影响的布局发出畸形 JSON，从而损坏包含的日志记录或中断下游日志的摄取和解析。建议用户升级到 Apache Log4j API 2.25.5 或 2.26.1，两者均会针对非有限值发出符合 RFC 8259 的 JSON。（CVE-2026-49844）

  - 在 Apache CXF 的 OAuth2 TokenIntrospectionService 中存在一个认证绕过漏洞。由于安全环境检查中缺少“throw”关键词，任何未经认证的网络攻击者都可以访问自检端点 （/services/oauth2/introspect）。但请注意，仅当有人忘记启用服务认证时，此措施才可采取此措施。建议用户升级到版本 4.2.2 或 4.1.7 或 3.6.12，其中修复了此问题。（CVE-2026-50623）

  - 传入 HTTP 请求的“clientId”参数直接串联到 OAuth2 服务器日志警告消息中，而不审查控制字符。这允许攻击者将任意内容（包括虚假的日志条目）注入服务器的日志文件。建议用户升级到版本 4.2.2 或 4.1.7 或 3.6.12，其中修复了此问题。（CVE-2026-50629）

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程主机上安装的 Primavera Unifier 版本受到 2026 年 10 月 CPU 公告中提及的多个漏洞的影响。

  - Oracle Construction and Engineering 的 Primavera Unifier 产品存在漏洞（组件：文档管理 (Spring Framework)）。支持的版本中受影响的是 22.12.0-22.12.15、23.12.0-23.12.16、24.12.0-24.12.16 和 25.12.0-25.12.9。难以利用的漏洞允许未经身份验证的攻击者通过 HTTP 进行网络访问，从而破坏 Primavera Unifier。成功攻击此漏洞可导致在未经授权的情况下更新、插入或删除某些 Primavera Unifier 可访问数据的访问权限，并且可造成 Primavera Unifier 部分拒绝服务（部分 DOS）。（、、CVE-2026-22741、、 CVE-2026-41838CVE-2026-41851CVE-2026-41843CVE-2026-41846CVE-2026-41845CVE-2026-41848CVE-2026-41844CVE-2026-41850CVE-2026-41842CVE-2026-41855CVE-2026-41839CVE-2026-41854CVE-2026-41840CVE-2026-41852CVE-2026-41841CVE-2026-22745CVE-2026-22735

  - Oracle Construction and Engineering 的 Primavera Unifier 产品中的漏洞（组件：Platform （jsoup））。支持的版本中受影响的是 21.12.0-21.12.17、22.12.0-22.12.15、23.12.0-23.12.16、24.12.0-24.12.16 和 25.12.0-25.12.9。可轻松利用的漏洞允许未经身份验证的攻击者通过 HTTP 进行网络访问，从而破坏 Primavera Unifier。成功攻击此漏洞可导致在未经授权的情况下使 Primavera Unifier 挂起或频繁崩溃（完全 DOS）。(CVE-2026-75140)

  - Oracle Construction and Engineering 的 Primavera Unifier 产品中的漏洞（组件：Platform （jackson-databind））。支持的版本中受影响的是 21.12.0-21.12.17、22.12.0-22.12.15、23.12.0-23.12.16、24.12.0-24.12.16 和 25.12.0-25.12.9。利用此漏洞的难度较小，未经身份验证的攻击者可通过 HTTP 进行网络访问，从而破坏 Primavera Unifier。成功攻击此漏洞可导致在未经授权的情况下挂起 Primavera Unifier，或者 Primavera Unifier 频繁出现崩溃（完整 DOS）。（CVE-2026-19032， CVE-2026-68497， CVE-2026-91777）

  - Oracle Construction and Engineering 的 Primavera Unifier 产品中的漏洞（组件：Core）。
    支持的版本中受影响的是 21.12.0-21.12.17。难以利用的漏洞允许未经身份验证的攻击者通过 HTTP 进行网络访问，从而破坏 Primavera Unifier。成功攻击此漏洞可导致在未经授权的情况下创建、删除或修改关键数据或所有 Primavera Unifier 可访问数据的访问权限，并且可以在未经授权的情况下访问关键数据或完整访问所有 Primavera Unifier 可访问数据。(CVE-2026-101736)

  - Oracle Construction and Engineering 的 Primavera Unifier 产品中的漏洞（组件：Project Control）。支持的版本中受影响的是 23.12.0-23.12.16。可轻松利用的漏洞允许低权限攻击者通过 HTTP 进行网络访问，从而危害 Primavera Unifier。成功攻击此漏洞可导致在未经授权的情况下创建、删除或修改关键数据或所有 Primavera Unifier 可访问数据的访问权限，以及对 Primavera Unifier 可访问数据子集进行未经授权的读取访问。（CVE-2026-101735）

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - 在不受信任的 JMS 环境中，org.springframework.jms.support.converter.MappingJackson2MessageConverter 和 org.springframework.jms.support.converter.JacksonJsonMessageConverter 允许任意类实例化，这可通过小工具类反序列化导致未经授权的操作。受影响的版本：
    弹簧框架 7.0.0 通过 ; 通过 ; 6.2.0 通过 6.2.18; 6.1.0 通过 6.1.27。 5.3.05.3.487.0.7
    (CVE-2026-41855)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

如 2026 年 10 月 CPU 公告所述，远程主机上安装的 Primavera 网关版本受到多个漏洞的影响。

  - Oracle Construction and Engineering 的 Primavera Gateway 产品存在漏洞（组件：Admin (Spring Framework)）。支持的版本中受影响的是 21.12.0-21.12.18。难以利用的漏洞允许未经身份验证的攻击者通过 HTTP 进行网络访问，从而破坏 Primavera Gateway。成功攻击此漏洞可导致接管 Primavera Gateway。
    (CVE-2026-41838, CVE-2026-41839, CVE-2026-41840, CVE-2026-41841, CVE-2026-41842, CVE-2026-41843, CVE-2026-41844, CVE-2026-41845, CVE-2026-41846, CVE-2026-41848, CVE-2026-41850, CVE-2026-41851, CVE-2026-41852, CVE-2026-41853, CVE-2026-41854, CVE-2026-41855)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

12.2.1.4.014.1.2.1.0远程主机上安装的 Identity Manager 和 版本受到 2026 年 10 月 CPU 公告中提及的多个漏洞的影响。

  - Oracle Fusion Middleware 的 Oracle Identity Manager 产品中的漏洞（组件：End User Self Service）。支持的版本中受影响的是 12.2.1.4.0 和 14.1.2.1.0。可轻松利用的漏洞允许未经身份验证的攻击者通过 T3、IIOP 进行网络访问，从而破坏 Oracle Identity Manager。成功攻击此漏洞可导致接管 Oracle Identity Manager。
    (CVE-2026-91408)

  - Oracle Fusion Middleware 的 Oracle Identity Manager 产品中的漏洞（组件：REST WebServices）。支持的版本中受影响的是 12.2.1.4.0 和 14.1.2.1.0。可轻易遭到利用的漏洞，允许具有网络访问权的低特权攻击者通过 HTTP 危害 Oracle Identity Manager。成功攻击此漏洞可导致接管 Oracle Identity Manager。
    (CVE-2026-91407)

  - Oracle Fusion Middleware 的 Oracle Identity Manager 产品中的漏洞（组件：OIM Legacy UI）。
    支持的版本中受影响的是 12.2.1.4.0 和 14.1.2.1.0。可轻易遭到利用的漏洞，允许具有网络访问权的低特权攻击者通过 HTTPS 危害 Oracle Identity Manager。成功攻击此漏洞可导致接管 Oracle Identity Manager。(CVE-2026-83402)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

12.2.1.4.0远程主机上安装的 WebLogic Server 的 、 、 14.1.1.0.014.1.2.0.0和15.1.1.0.0版本受到 2026 年 10 月 CPU 公告中提及的多个漏洞的影响。

  - Oracle Fusion Middleware 的 Oracle WebLogic Server 产品中的漏洞（组件：Core）。
    支持的版本中受影响的是 12.2.1.4.0、14.1.1.0.0、14.1.2.0.0 和 15.1.1.0.0。可轻易遭到利用的漏洞允许具有网络访问权限且未经身份验证的攻击者通过 HTTP 危害 Oracle WebLogic Server。成功利用此漏洞进行攻击可导致接管 Oracle WebLogic Server。(CVE-2026-91323)

  - Oracle Fusion Middleware 的 Oracle WebLogic Server 产品中的漏洞（组件：Core）。
    支持的版本中受影响的是 12.2.1.4.0、14.1.1.0.0、14.1.2.0.0 和 15.1.1.0.0。可轻松利用的漏洞允许未经身份验证的攻击者通过 T3、IIOP 进行网络访问，从而破坏 Oracle WebLogic Server。成功利用此漏洞进行攻击可导致接管 Oracle WebLogic Server。(CVE-2026-83399)

  - Oracle Fusion Middleware 的 Oracle WebLogic Server 产品中的漏洞（组件：Core）。
    支持的版本中受影响的是 12.2.1.4.0、14.1.1.0.0、14.1.2.0.0 和 15.1.1.0.0。可轻易遭到利用的漏洞允许具有网络访问权限且未经身份验证的攻击者通过 HTTP 危害 Oracle WebLogic Server。成功攻击此漏洞可导致在未经授权的情况下创建、删除或修改关键数据或所有 Oracle WebLogic 服务器可访问数据的访问权限，以及未经授权即可访问关键数据或完整访问所有 Oracle WebLogic 服务器可访问数据。
    (CVE-2026-87302)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
320777	Spring 框架 5.3.x < 5.3.49 / 6.1.x < 6.1.28 / 6.2.x < 6.2.18.1 / 7.0.x < 7.0.7.1 多个漏洞	Nessus	Misc.	2026/6/12	2026/8/25	critical
341612	Nutanix AOS：多个漏洞（NXSA-AOS-7.6.0.6）	Nessus	Misc.	2026/8/31	2026/8/31	high
370446	Oracle Primavera Unifier（2026 年 10 月 CPU）	Nessus	CGI abuses	2026/10/22	2026/10/26	high
320052	Linux Distros 未修补的漏洞：CVE-2026-41855	Nessus	Misc.	2026/6/9	2026/10/30	critical
370484	Oracle Primavera 网关（2026 年 10 月 CPU）	Nessus	CGI abuses	2026/10/22	2026/10/23	critical
370487	Oracle Identity Manager（2026 年 10 月 CPU）	Nessus	Misc.	2026/10/22	2026/10/23	critical
371213	Oracle WebLogic Server（2026 年 10 月 CPU）	Nessus	Misc.	2026/10/23	2026/10/26	high

检测

插件搜索

critical

high

high

critical

critical

critical

high