远程 Debian 13 主机上存在安装的程序包，该程序包受到 dsa-6312 公告中提及的多个漏洞的影响。

    - ------------------------------------------------------------------------- Debian 安全公告 security@debian.org DSA-6312-1https://www.debian.org/security/Moritz Muehlenhoff 2026 年 5 月 31 日 https://www.debian.org/security/faq
    - -------------------------------------------------------------------------

    程序包：symfony CVE ID： CVE-2024-50340 CVE-2026-45063 CVE-2026-45064 CVE-2026-45065 CVE-2026-45066 CVE-2026-45067 CVE-2026-45068 CVE-2026-45069 CVE-2026-45071 CVE-2026-45072 CVE-2026-45073 CVE-2026-45077 CVE-2026-45133 CVE-2026-45304 CVE-2026-45305 CVE-2026-45754 CVE-2026-46626 CVE-2026-48489 CVE-2026-48736 CVE-2026-48760 CVE-2026-48761 CVE-2026-48784

    Symfony PHP 框架中发现多个漏洞，通过 PHP 对象反序列化，可导致绕过安全控制、跨站脚本、拒绝服务、SQL 注入、电子邮件标头注入、信息泄露或代码执行。

    对于稳定发行版本 （trixie），已在版本 6.4.41+dfsg-0+deb13u1 中修复这些问题。

    我们建议您升级 Symfony 程序包。

    如需了解 Symfony 的详细安全状态，请参阅其安全跟踪页面：
    https://security-tracker.debian.org/tracker/symfony

    有关 Debian 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://www.debian.org/security/

    邮件列表：debian-security-announce@lists.debian.org

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程主机上安装的 Symfony 和/或其 Symfony Monolog Bridge / MIME / Mailer / Routing / Security HTTP 组件的版本低于6.1.x （低于6.4.40）、 7.0.x（低于7.4.12） 、 8.0.x（低于8.0.12） ，因此受到多个漏洞的影响：

  - Symfony 组件的 X509Authenticator 客户端证书 （mTLS） 认证中存在一个认证绕过漏洞，这是因为使用未锚定的正则表达式从主题 DN 字符串中提取 emailAddress 所导致。未经认证的远程攻击者可利用此漏洞，通过构建的客户端证书（其中包含嵌入在 CN（公用名）字段中的 emailAddress 字符串），绕过认证并冒充任意用户。（CVE-2026-45063）

  - Symfony Monolog 桥接组件的 ServerLogCommand（server：log 控制台命令）中存在一个不安全的反序列化漏洞，这是因为默认绑定至所有网络接口 （0.0.0.0：9911） 且在没有allowed_classes、允许列表或完整性检查的情况下执行未经身份验证的 PHP 对象反序列化所导致。未经身份验证的远程攻击者可利用此问题，通过发送到 TCP 端口 9911 的特制序列化 PHP 负载，根据目标环境中可用的小工具链，通过带有 magic-method 副作用的 PHP 对象注入造成拒绝服务或可能实现远程代码执行。
    (CVE-2026-45077)

  - Symfony MIME 组件的地址类中存在 CRLF 注入漏洞，这是由于构造函数接受电子邮件地址（尽管已记录为验证输入），但引用的本地部分包含原始 \r\n 字节。经身份验证的远程攻击者可利用此问题，通过在本地部分（如“x\r\nBcc： attacker@evil”@example.com）具有内嵌 CRLF 序列的特制电子邮件地址，注入任意电子邮件标头和 SMTP 命令，造成未经授权的电子邮件泄露、垃圾邮件中继或其他邮件系统滥用。（CVE-2026-45067）

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。另请注意，此插件不区分通过操作系统程序包管理器安装的 PHP 程序包、通过 Composer 或其他来源安装的 PHP 程序包。因此，操作系统程序包存储库提供的程序包可能具有向后移植修复程序，但此插件可能会错误地将这些修复程序报告为漏洞。请参阅 CVE-2026-45063 、CVE-2026-45065、CVE-2026-45067、CVE-2026-45068 和 CVE-2026-45077 的特定操作系统插件，以检查有无向后移植修复程序。

远程 Debian 12 主机上存在安装的程序包，该程序包受到 dsa-6317 公告中提及的多个漏洞的影响。

    - ------------------------------------------------------------------------- Debian 安全公告 DSA-6317-1 security@debian.org https://www.debian.org/security/Moritz Muehlenhoff 2026 年 6 月 1 日 https://www.debian.org/security/faq
    - -------------------------------------------------------------------------

    程序包：symfony CVE ID： CVE-2024-50340 CVE-2026-45063 CVE-2026-45065 CVE-2026-45067 CVE-2026-45068 CVE-2026-45071 CVE-2026-45073 CVE-2026-45077 CVE-2026-45133 CVE-2026-45304 CVE-2026-45305 CVE-2026-46626 CVE-2026-48489 CVE-2026-48736 CVE-2026-48784

    Symfony PHP 框架中发现多个漏洞，通过 PHP 对象反序列化，可导致绕过安全控制、跨站脚本、拒绝服务、SQL 注入、电子邮件标头注入、信息泄露或代码执行。

    对于旧稳定发行版本 （bookworm），已在版本 5.4.53+dfsg-0+deb12u1 中修复这些问题。

    我们建议您升级 Symfony 程序包。

    如需了解 Symfony 的详细安全状态，请参阅其安全跟踪页面：
    https://security-tracker.debian.org/tracker/symfony

    有关 Debian 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://www.debian.org/security/

    邮件列表：debian-security-announce@lists.debian.org

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - Symfony 是适用于 Web 和控制台应用程序的 PHP 框架，是一组可重复使用的 PHP 组件。在 5.4.52、 6.4.40和 7.4.128.0.12之前，UrlGenerator 根据构建为 ^ 加原始要求加 $; 的模式验证路由参数;使用未分组的交替，中间替代项匹配为未锚定的子字符串，从而允许 //evil.com 等值满足通用区域设置要求并生成协议相关的站外 URL。此问题已在 5.4.52、6.4.40、7.4.12 和 8.0.12 版本中得到修补。
    (CVE-2026-45065)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
318121	Debian DSA-6312：php-symfony - 安全更新	Nessus	Debian Local Security Checks	2026/6/1	2026/6/1	critical
318791	Symfony 和多个 Symfony 组件 < 5.4.52 / 6.x < 6.4.40 / 7.x < 7.4.12 / 8.x < 8.0.12 多种漏洞	Nessus	Misc.	2026/6/5	2026/8/26	critical
318254	Debian dsa-6317：php-symfony - 安全更新	Nessus	Debian Local Security Checks	2026/6/2	2026/6/2	critical
316442	Linux Distros 未修补的漏洞：CVE-2026-45065	Nessus	Misc.	2026/5/22	2026/9/2	low

检测

插件搜索

critical

critical

critical

low