There are packages installed that are affected by a vulnerability referenced in the following CVE:

  - Thumbor is an open-source photo thumbnail service by globo.com. Prior to 7.8.0, Thumbor’s HMAC validation
    can be bypassed due to the use of Python’s .replace() when removing the signature from the URL before
    validation. Since .replace() removes all occurrences of the substring, an attacker can insert the same
    signature multiple times in the URL and manipulate the final URL used for validation. This allows crafting
    URLs where the validated string differs from the actual requested resource, enabling loading images from
    unintended domains or paths. This issue is fixed in 7.8.0. (CVE-2026-53501)

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且廠商未提供可用的修補程式。

  - Thumbor 是 globo.com 的開源照片縮略圖服務。在之前 7.8.0，由於在驗證前從 URL 中刪除簽名時使用 Python 的 .replace（），因此可以繞過 Thumbor 的 HMAC 驗證。由於 .replace（） 會移除所有出現的子字串，因此攻擊者可以在 URL 中多次插入相同的簽名，並操縱用於驗證的最終 URL。這允許製作經過驗證的字串與實際請求的資源不同的 URL，從而能夠從非預期的網域或路徑載入圖像。此問題已在 7.8.0中修正。（CVE-2026-53501）

請注意，Nessus 依賴供應商報告的套件存在。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - Thumbor 是 globo.com 的开源照片缩略图服务。之前 7.8.0，由于在验证前从 URL 中删除签名时使用 Python 的 .replace（），可以绕过 Thumbor 的 HMAC 验证。由于 .replace（） 会删除所有出现的子字符串，攻击者可在 URL 中多次插入同一签名，并操纵用于验证的最终 URL。这使得验证字符串不同于实际请求的资源，可以制作 URL，从而能够从非预期的域或路径加载图像。此问题已在 7.8.0中修复。（CVE-2026-53501）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - Thumbor は、globo.com によるオープンソースの写真サムネイルサービスです。7.8.0より前では、検証前にURLから署名を削除するときにPythonの.replace()を使用するため、ThumborのHMAC検証がバイパスされる可能性があります。.replace() はサブストリングのすべての出現箇所を削除するため、攻撃者が URL に同じ署名を複数回挿入して、検証に使用される最終 URL を操作する可能性があります。これにより、検証された文字列が実際のリクエストされたリソースと異なるURLの作成が可能になり、意図しないドメインまたはパスから画像をロードできるようになります。この問題は 7.8.0で修正されています。(CVE-2026-53501)

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

The Linux/Unix host has one or more packages installed that are impacted by a vulnerability without a vendor supplied patch available.

  - Thumbor is an open-source photo thumbnail service by globo.com. Prior to 7.8.0, Thumbor's HMAC validation     can be bypassed due to the use of Python's .replace() when removing the signature from the URL before     validation. Since .replace() removes all occurrences of the substring, an attacker can insert the same     signature multiple times in the URL and manipulate the final URL used for validation. This allows crafting     URLs where the validated string differs from the actual requested resource, enabling loading images from     unintended domains or paths. This issue is fixed in 7.8.0. (CVE-2026-53501)

Note that Nessus relies on the presence of the package as reported by the vendor.

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
445528	SCA: security update for thumbor (GHSA-mw3h-qjxj-6xg9)	Tenable Cloud Security	SCA Checks	2026/8/1	2026/8/3	high
445528	SCA: security update for thumbor (GHSA-mw3h-qjxj-6xg9)	Tenable Self-Hosted Container Security	SCA Checks	2026/8/1	2026/8/3	high
332109	Linux Distros 未修補弱點：CVE-2026-53501	Nessus	Misc.	2026/8/5	2026/8/7	high
332109	Linux Distros 未修补的漏洞：CVE-2026-53501	Nessus	Misc.	2026/8/5	2026/8/7	high
332109	Linux Distros のパッチ未適用の脆弱性: CVE-2026-53501	Nessus	Misc.	2026/8/5	2026/8/7	high
332109	Linux Distros Unpatched Vulnerability : CVE-2026-53501	Nessus	Misc.	2026/8/5	2026/8/7	high

检测

插件搜索

high

high

high

high

high

high