远程主机上安装的 Apache CXF 版本低于或4.2.x4.2.2低于 4.1.7 . 因此，该应用程序受到多个漏洞的影响，其中包括：

  - 如果攻击者可操纵 JCA 部署描述符或运行时激活参数，JCA 集成模块中的 JNDI 注入漏洞将允许代码执行。
    (CVE-2026-50633)

  - 如果允许不受信任的用户为 Apache CXF 配置 JMS，则不 CVE-2026-44417 完整的修复会允许代码执行。（CVE-2026-50632）

  - 反序列化期间对消息中附件标头的数量没有限制，可导致不受控制的资源消耗或拒绝服务。（CVE-2026-50645）

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程主机上安装的 AOS 版本低于 7.6.0.6。因此，如公告 NXSA-AOS-7.6.0.6 所述，受到多个漏洞的影响。

  - 在不受信任的 JMS 环境中，org.springframework.jms.support.converter.MappingJackson2MessageConverter 和 org.springframework.jms.support.converter.JacksonJsonMessageConverter 允许任意类实例化，这可通过小工具类反序列化导致未经授权的操作。受影响的版本：
    弹簧框架 7.0.0 通过 ; 通过 ; 6.2.0 通过 6.2.18; 6.1.0 通过 6.1.27。 5.3.05.3.487.0.7
    (CVE-2026-41855)

  - before3.8.163.9、before3.9.10、before 3.10.9 的 3.10 Postfix 有时允许缓冲区过度读取和进程崩溃，方法是通过在第三个数字之后缺少文本的增强状态代码。（CVE-2026-43964）

  - 在 Apache Log4j API 中进行 MapMessage JSON 序列化期间对非有限浮点值的不当编码会产生非有效 JSON 的输出。此问题会影响 Apache Log4j API 的所有2.25.4版本2.13.1和版本2.26.0。的 CVE-2026-34481 补丁并未涵盖所有代码路径：当 MapMessage 包含非有限 IEEE 754 值（NaN、Infinity 或 -Infinity）时，MapMessage.asJson（） 会发出相应的裸标记。RFC 8259 不允许这些标记，因此合规的解析器会拒绝生成的文档。只有当以下两个条件都成立时，才能访问此缺陷：* 应用程序使用 JsonTemplateLayout 的消息解析器 https://logging.apache.org/log4j/2.x/manual/json-template-layout.html#event-template-resolver-message ，或依赖 MapMessage.asJson（） 或 MapMessage.getFormattedMessage（new String[]{JSON}） 的任何其他布局。 * 应用程序记录的 MapMessage 包含攻击者控制的浮点值。能够提供非有限值的攻击者可造成受影响的布局发出畸形 JSON，从而损坏包含的日志记录或中断下游日志的摄取和解析。建议用户升级到 Apache Log4j API 2.25.5 或 2.26.1，两者均会针对非有限值发出符合 RFC 8259 的 JSON。（CVE-2026-49844）

  - 在 Apache CXF 的 OAuth2 TokenIntrospectionService 中存在一个认证绕过漏洞。由于安全环境检查中缺少“throw”关键词，任何未经认证的网络攻击者都可以访问自检端点 （/services/oauth2/introspect）。但请注意，仅当有人忘记启用服务认证时，此措施才可采取此措施。建议用户升级到版本 4.2.2 或 4.1.7 或 3.6.12，其中修复了此问题。（CVE-2026-50623）

  - 传入 HTTP 请求的“clientId”参数直接串联到 OAuth2 服务器日志警告消息中，而不审查控制字符。这允许攻击者将任意内容（包括虚假的日志条目）注入服务器的日志文件。建议用户升级到版本 4.2.2 或 4.1.7 或 3.6.12，其中修复了此问题。（CVE-2026-50629）

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程主机上运行的 IBM WebSphere Application Server 版本受到7278576公告中所述的多个漏洞的影响。

  - 被 Apache CXF 反序列化时，消息可以包含的附件标头数量没有限制，这可能导致不受控制的资源消耗或拒绝服务攻击。建议用户升级到版本 4.2.2 或 4.1.7，其中通过对每条消息施加最多 500 个附件默认值来修复此问题。（CVE-2026-50645）

  - IBM WebSphere Application Server 和 WebSphere Application Server Liberty 容易受到因发送特别构建的请求而造成的拒绝服务的影响。远程攻击者可利用此漏洞，造成服务器消耗内存资源。(CVE-2026-9171)

  - IBM WebSphere Application Server 9.0和 8.5 IBM WebSphere Application Server - Liberty 17.0.0.3 通过 26.0.0.7 容易遭受通过构建的 HTTP 请求发起的拒绝服务攻击。（CVE-2026-9322）

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
321189	Apache CXF < 4.1.7 / 4.2.x < 4.2.2 多种漏洞	Nessus	Misc.	2026/6/16	2026/6/26	high
341612	Nutanix AOS：多个漏洞（NXSA-AOS-7.6.0.6）	Nessus	Misc.	2026/8/31	2026/8/31	high
324011	IBM WebSphere Application Server 8.5.x < 8.5.5.31 / 9.x < 9.0.5.29 / Liberty 17.0.0.3 < 26.0.0.8 （7278576）	Nessus	Web Servers	2026/7/1	2026/7/31	high

检测

插件搜索

high

high

high