There are packages installed that are affected by multiple vulnerabilities referenced in the following CVEs:

  - daphne before 4.2.2 did not pass maxFramePayloadSize or maxMessagePayloadSize to Autobahn's
    WebSocketServerFactory. Because Autobahn defaults both values to 0 (unlimited), an unauthenticated remote
    attacker could send arbitrarily large WebSocket messages or frames, causing excessive memory consumption
    and a denial of service. (CVE-2026-44545)

  - daphne before 4.2.2 reconstructs a raw HTTP request from Twisted's parsed headers and feeds it to autobahn
    for WebSocket handshake processing. Twisted does not treat \x0b, \x0c, \x1c, \x1d, \x1e, or \x85 as header
    line separators, but autobahn decodes header values to str and calls splitlines(). An attacker can exploit
    this parser differential to inject additional headers into the ASGI scope passed to the application.
    daphne now rejects requests with these bytes in any header value with a 400 response. (CVE-2026-44546)

There are packages installed that are affected by a vulnerability referenced in the following CVE:

  - daphne before 4.2.2 reconstructs a raw HTTP request from Twisted's parsed headers and feeds it to autobahn
    for WebSocket handshake processing. Twisted does not treat \x0b, \x0c, \x1c, \x1d, \x1e, or \x85 as header
    line separators, but autobahn decodes header values to str and calls splitlines(). An attacker can exploit
    this parser differential to inject additional headers into the ASGI scope passed to the application.
    daphne now rejects requests with these bytes in any header value with a 400 response. (CVE-2026-44546)

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - daphne 之前 4.2.2 从 Twisted 的已解析标头重建原始 HTTP 请求，并将其馈送到 autobahn 进行 WebSocket 握手处理。Twisted 未将 \x0b、\x0c、\x1c、\x1d、\x1e 或 \x85 视为标头行分隔符，但是 autobahn 将标头值解码为 str 并调用 splitlines（）。攻击者可利用此解析器差异，将额外的标头注入传递给应用程序的 ASGI 范围。
    现在 Daphne 会通过 400 响应拒绝任何标头值中包含这些字节的请求。（CVE-2026-44546）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且供應商未提供可用的修補程式。

  - daphne before 4.2.2 會從 Twisted 的剖析標頭重建原始 HTTP 要求，並將其饋送至 autobahn 以進行 WebSocket 交握處理。Twisted 不會將 \x0b、\x0c、\x1c、\x1d、\x1e 或 \x85 視為標頭行分隔符號，但 autobahn 會將標頭值解碼為 str 並呼叫 splitlines（）。攻擊者可以利用此剖析器差異，將額外的標頭插入傳遞給應用程式的 ASGI 範圍。
    Daphne 現在會拒絕任何標頭值中包含這些位元組的要求，並具有 400 回應。（CVE-2026-44546）

請注意，Nessus 的判定取決於廠商所報告的套件是否存在。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - daphne before 4.2.2 は、Twisted の解析済みヘッダーから生のHTTPリクエストを再構築し、WebSocket ハンドシェイク処理のためにそれを autobahn にフィードします。Twisted は、\x0b、\x0c、\x1c、\x1d、\x1e、または \x85 をヘッダー行の区切り文字として扱いませんが、autobahn はヘッダー値を str にデコードし、splitlines() を呼び出します。攻撃者が、このパーサーの差分を悪用して、アプリケーションに渡される ASGI スコープに追加のヘッダーを注入する可能性があります。
    daphne は現在、400 応答を持つあらゆるヘッダー値にこれらのバイトがあるリクエストを拒否します。(CVE-2026-44546)

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

The Linux/Unix host has one or more packages installed that are impacted by a vulnerability without a vendor supplied patch available.

  - daphne before 4.2.2 reconstructs a raw HTTP request from Twisted's parsed headers and feeds it to autobahn     for WebSocket handshake processing. Twisted does not treat \x0b, \x0c, \x1c, \x1d, \x1e, or \x85 as header     line separators, but autobahn decodes header values to str and calls splitlines(). An attacker can exploit     this parser differential to inject additional headers into the ASGI scope passed to the application.
    daphne now rejects requests with these bytes in any header value with a 400 response. (CVE-2026-44546)

Note that Nessus relies on the presence of the package as reported by the vendor.

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
445845	Alpine: multiple py3-daphne packages: security update to 4.2.3-r0	Tenable Cloud Security	Alpine Linux Local Security Checks	2026/8/10	2026/8/10	medium
445845	Alpine: multiple py3-daphne packages: security update to 4.2.3-r0	Tenable Self-Hosted Container Security	Alpine Linux Local Security Checks	2026/8/10	2026/8/10	medium
444653	SCA: security update for daphne (GHSA-xh68-hfp5-5x5m)	Tenable Cloud Security	SCA Checks	2026/7/12	2026/7/12	medium
444653	SCA: security update for daphne (GHSA-xh68-hfp5-5x5m)	Tenable Self-Hosted Container Security	SCA Checks	2026/7/12	2026/7/12	medium
318549	Linux Distros 未修补的漏洞：CVE-2026-44546	Nessus	Misc.	2026/6/3	2026/8/27	medium
318549	Linux Distros 未修補弱點：CVE-2026-44546	Nessus	Misc.	2026/6/3	2026/8/27	medium
318549	Linux Distros のパッチ未適用の脆弱性: CVE-2026-44546	Nessus	Misc.	2026/6/3	2026/8/27	medium
318549	Linux Distros Unpatched Vulnerability : CVE-2026-44546	Nessus	Misc.	2026/6/3	2026/8/27	medium

检测

插件搜索

medium

medium

medium

medium

medium

medium

medium

medium