There are packages installed that are affected by a vulnerability referenced in the following CVE:

  - AIOHTTP is an asynchronous HTTP client/server framework for asyncio and Python. Prior to 3.14.1, if an
    attacker sends large incomplete websocket frame payloads, it may be possible to bypass the usual size
    limits on memory use. This vulnerability is fixed in 3.14.1. (CVE-2026-54274)

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且廠商未提供可用的修補程式。

  - AIOHTTP 是適用於 asyncio 和 Python 的非同步 HTTP 用戶端/伺服器架構。在 之前，如果攻擊者傳送大型不 3.14.1完整的 websocket 框架承載，則有可能繞過記憶體使用的一般大小限制。此弱點已在 3.14.1 中修正。(CVE-2026-54274)

請注意，Nessus 依賴供應商報告的套件存在。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - AIOHTTP 是用于 asyncio 和 Python 的异步 HTTP 客户端/服务器框架。在 之前 3.14.1，若攻击者发送大量不完整的 websocket 帧负载，可能会绕过通常的内存使用大小限制。此漏洞已在 3.14.1 中修复。(CVE-2026-54274)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

リモートの openSUSE 16 ホストに、複数の脆弱性の影響を受けているパッケージがインストールされています。これらの脆弱性は openSUSE-SU-2026:21372-1 アドバイザリで言及されています。

    python-aiohttp のこの更新は、次の問題を修正します

    - CVE-2026-50269:ユーザーコントロール文字列の検証が不適切なために、マルチパートヘッダー(bsc#1268398)で CRLF インジェクションが可能になります。
    - CVE-2026-54273:HTTP/1パイプライン化されたリクエストキューに制限がないため、過剰なリソース消費が発生する可能性があります(bsc#1268543)。
    - CVE-2026-54274:不完全な websocket フレームペイロードにより、メモリ使用制限がバイパスされ、過剰なリソース消費により DoS が引き起こされる可能性があります(bsc#1268544)。
    - CVE-2026-54275:既存の接続TLS再利用された場合、「server_hostname」が SNI チェックをバイパスします(bsc#1268549)。
    - CVE-2026-54277:最適化された C HTTP パーサーを使用する際の「max_line_size」バイパスにより、過剰なリソース消費が引き起こされる可能性があります(bsc#1268556)。
    - CVE-2026-54278:未読の圧縮されたリクエスト本文が、クリーンアップ中に「client_max_size」をバイパスし、DoSを引き起こす可能性があります(bsc#1268559)。
    - CVE-2026-54279:「ホストのみのクッキー」は、「CookieJar」の永続性の後にドメインクッキーになります(bsc#1268560)。
    - CVE-2026-54280:書き込みの途中でクライアントが切断された場合、ペイロードリソースが正しく閉じられず、リソース枯渇(bsc#1268561)を引き起こす可能性があります。

Tenable は、前述の記述ブロックを SUSE セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートの SUSE Linux SLES15 / SLES_SAP15 ホストには、SUSE-SU-2026:3208-1 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    - CVE-2026-50269:ユーザーコントロール文字列の検証が不適切なために、マルチパートヘッダー(bsc#1268398)で CRLF インジェクションが可能になります。
    - CVE-2026-54273:HTTP/1パイプライン化されたリクエストキューに制限がないため、過剰なリソース消費が発生する可能性があります(bsc#1268543)。
    - CVE-2026-54274:不完全な websocket フレームペイロードにより、メモリ使用制限がバイパスされ、過剰なリソース消費により DoS が引き起こされる可能性があります(bsc#1268544)。
    - CVE-2026-54275:既存の接続TLS再利用された場合、「server_hostname」が SNI チェックをバイパスします(bsc#1268549)。
    - CVE-2026-54277:最適化された C HTTP パーサーを使用する際の「max_line_size」バイパスにより、過剰なリソース消費が引き起こされる可能性があります(bsc#1268556)。
    - CVE-2026-54278:未読の圧縮されたリクエスト本文が、クリーンアップ中に「client_max_size」をバイパスし、DoSを引き起こす可能性があります(bsc#1268559)。
    - CVE-2026-54279:「ホストのみのクッキー」は、「CookieJar」の永続性の後にドメインクッキーになります(bsc#1268560)。
    - CVE-2026-54280:書き込みの途中でクライアントが切断された場合、ペイロードリソースが正しく閉じられず、リソース枯渇(bsc#1268561)を引き起こす可能性があります。

Tenable は、前述の記述ブロックを SUSE セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートの SUSE Linux SLED15 / SLED_SAP15 / SLES15 / SLES_SAP15 ホストには、SUSE-SU-2026:3207-1 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    python-aiohttp のこの更新は、次の問題を修正します

    - CVE-2026-22815:ヘッダー/トレーラー処理の制限が不十分なため、メモリ使用量の上限が無制限になり、サービス拒否(bsc#1261320)が引き起こされる可能性があります。
    - CVE-2026-34513:無制限のDNSキャッシュは、過剰なメモリ使用を引き起こし、サービス拒否(bsc#1261321)につながる可能性があります。
    - CVE-2026-34514:「content_type」パラメーター操作により、ヘッダーインジェクションが発生する可能性があります(bsc#1261322)。
    - CVE-2026-34516:過剰なマルチパートヘッダーを持つ応答が、意図した以上に多くのメモリを使用し、サービス拒否(bsc#1261329)を引き起こす可能性があります。
    - CVE-2026-34517:サイズチェックなしでメモリに読み込まれる大きなマルチパートフォームフィールドにより、サービス拒否が発生する可能性があります(bsc#1261331)。
    - CVE-2026-34518:リダイレクトに従うときに「Cookie」および「Proxy-Authorization」ヘッダーを保持すると、情報漏洩が発生する可能性があります(bsc#1261332)。
    - CVE-2026-34519:応答の「reason」パラメーターは、ヘッダーインジェクションを実行するために使用される可能性があります(bsc#1261334)。
    - CVE-2026-34520:C パーサーによる不適切な文字処理により、ヘッダーインジェクションが発生する可能性があります(bsc#1261335)。
    - CVE-2026-34525:複数の「Host」ヘッダーにより、プロキシサーバー(bsc#1261343)でセキュリティバイパスが発生する可能性があります。
    - CVE-2026-34993:「CookieJar.load()」で信頼できない入力をロードすると、任意のコードの実行を引き起こす可能性があります(bsc#1267471)。
    - CVE-2026-47265:リクエストで「cookies」パラメーターで設定されたクッキーは、オリジン間リダイレクト後に送信され、機密データを漏洩する可能性があります(bsc#1267561)。
    - CVE-2026-50269:ユーザーコントロール文字列の検証が不適切なために、マルチパートヘッダー(bsc#1268398)で CRLF インジェクションが可能になります。
    - CVE-2026-54273:HTTP/1パイプライン化されたリクエストキューに制限がないため、過剰なリソース消費が発生する可能性があります(bsc#1268543)。
    - CVE-2026-54274:不完全な websocket フレームペイロードにより、メモリ使用制限がバイパスされ、過剰なリソース消費により DoS が引き起こされる可能性があります(bsc#1268544)。
    - CVE-2026-54275:既存の接続TLS再利用された場合、「server_hostname」が SNI チェックをバイパスします(bsc#1268549)。
    - CVE-2026-54277:最適化された C HTTP パーサーを使用する際の「max_line_size」バイパスにより、過剰なリソース消費が引き起こされる可能性があります(bsc#1268556)。
    - CVE-2026-54278:未読の圧縮されたリクエスト本文が、クリーンアップ中に「client_max_size」をバイパスし、DoSを引き起こす可能性があります(bsc#1268559)。
    - CVE-2026-54279:「ホストのみのクッキー」は、「CookieJar」の永続性の後にドメインクッキーになります(bsc#1268560)。
    - CVE-2026-54280:書き込みの途中でクライアントが切断された場合、ペイロードリソースが正しく閉じられず、リソース枯渇(bsc#1268561)を引き起こす可能性があります。

Tenable は、前述の記述ブロックを SUSE セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - AIOHTTP は、asyncio および Python 用の非同期 HTTP クライアント/サーバーフレームワークです。3.14.1以前は、攻撃者が大きな不完全なwebsocketフレームペイロードを送信した場合、メモリ使用の通常のサイズ制限をバイパスできる可能性があります。この脆弱性は 3.14.1 で修正されました。(CVE-2026-54274)

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

The remote SUSE Linux SLED15 / SLED_SAP15 / SLES15 / SLES_SAP15 host has a package installed that is affected by multiple vulnerabilities as referenced in the SUSE-SU-2026:3207-1 advisory.

    This update for python-aiohttp fixes the following issues

    - CVE-2026-22815: insufficient restrictions in header/trailer handling can cause uncapped memory usage and     a denial of       service (bsc#1261320).
    - CVE-2026-34513: unbounded DNS cache can cause a excessive memory usage and lead to a denial of service     (bsc#1261321).
    - CVE-2026-34514: `content_type` parameter manipulation can lead to header injection (bsc#1261322).
    - CVE-2026-34516: response with excessive multipart headers can use more memory than intended and cause a     denial of       service (bsc#1261329).
    - CVE-2026-34517: large multipart form fields read into memory without size check can cause a denial of     service       (bsc#1261331).
    - CVE-2026-34518: retained `Cookie` and `Proxy-Authorization` headers when following redirects can lead to     information       disclosure (bsc#1261332).
    - CVE-2026-34519: response `reason` parameter can be use to perform header injection (bsc#1261334).
    - CVE-2026-34520: improper character handling by C parser can lead to header injection (bsc#1261335).
    - CVE-2026-34525: multiple `Host` headers allow for potential security bypass in proxy servers     (bsc#1261343).
    - CVE-2026-34993: loading untrusted input in `CookieJar.load()` can lead to arbitrary code execution     (bsc#1267471).
    - CVE-2026-47265: cookies set with the `cookies` parameter on requests are sent after following a cross-     origin redirect       and can leak sensitive data (bsc#1267561).
    - CVE-2026-50269: improper validation of user-controlled strings allows for CRLF injection in multipart     headers       (bsc#1268398).
    - CVE-2026-54273: no limit in the HTTP/1 pipelined request queue can lead to excessive resource     consumption       (bsc#1268543).
    - CVE-2026-54274: incomplete websocket frame payloads can bypass memory use limits and cause a DoS via     excessive       resource consumption (bsc#1268544).
    - CVE-2026-54275: `server_hostname` TLS SNI check bypass when an existing connection is reused     (bsc#1268549).
    - CVE-2026-54277: `max_line_size` bypass when using the optimised C HTTP parser can lead to excessive     resource       consumption (bsc#1268556).
    - CVE-2026-54278: unread compressed request bodies can bypass `client_max_size` during cleanup and cause a     DoS       (bsc#1268559).
    - CVE-2026-54279: host-only cookies become domain cookies after `CookieJar` persistence (bsc#1268560).
    - CVE-2026-54280: payload resources are not closed correctly when a client disconnects in the middle of a     write and       can cause resource starvation (bsc#1268561).

Tenable has extracted the preceding description block directly from the SUSE security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

The Linux/Unix host has one or more packages installed that are impacted by a vulnerability without a vendor supplied patch available.

  - AIOHTTP is an asynchronous HTTP client/server framework for asyncio and Python. Prior to 3.14.1, if an     attacker sends large incomplete websocket frame payloads, it may be possible to bypass the usual size     limits on memory use. This vulnerability is fixed in 3.14.1. (CVE-2026-54274)

Note that Nessus relies on the presence of the package as reported by the vendor.

The remote SUSE Linux SLES15 / SLES_SAP15 host has a package installed that is affected by multiple vulnerabilities as referenced in the SUSE-SU-2026:3208-1 advisory.

    - CVE-2026-50269: improper validation of user-controlled strings allows for CRLF injection in multipart     headers       (bsc#1268398).
    - CVE-2026-54273: no limit in the HTTP/1 pipelined request queue can lead to excessive resource     consumption       (bsc#1268543).
    - CVE-2026-54274: incomplete websocket frame payloads can bypass memory use limits and cause a DoS via     excessive       resource consumption (bsc#1268544).
    - CVE-2026-54275: `server_hostname` TLS SNI check bypass when an existing connection is reused     (bsc#1268549).
    - CVE-2026-54277: `max_line_size` bypass when using the optimised C HTTP parser can lead to excessive     resource       consumption (bsc#1268556).
    - CVE-2026-54278: unread compressed request bodies can bypass `client_max_size` during cleanup and cause a     DoS       (bsc#1268559).
    - CVE-2026-54279: host-only cookies become domain cookies after `CookieJar` persistence (bsc#1268560).
    - CVE-2026-54280: payload resources are not closed correctly when a client disconnects in the middle of a     write and       can cause resource starvation (bsc#1268561).

Tenable has extracted the preceding description block directly from the SUSE security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

The remote openSUSE 16 host has a package installed that is affected by multiple vulnerabilities as referenced in the openSUSE-SU-2026:21372-1 advisory.

    This update for python-aiohttp fixes the following issues

    - CVE-2026-50269: improper validation of user-controlled strings allows for CRLF injection in multipart     headers       (bsc#1268398).
    - CVE-2026-54273: no limit in the HTTP/1 pipelined request queue can lead to excessive resource     consumption       (bsc#1268543).
    - CVE-2026-54274: incomplete websocket frame payloads can bypass memory use limits and cause a DoS via     excessive       resource consumption (bsc#1268544).
    - CVE-2026-54275: `server_hostname` TLS SNI check bypass when an existing connection is reused     (bsc#1268549).
    - CVE-2026-54277: `max_line_size` bypass when using the optimised C HTTP parser can lead to excessive     resource       consumption (bsc#1268556).
    - CVE-2026-54278: unread compressed request bodies can bypass `client_max_size` during cleanup and cause a     DoS       (bsc#1268559).
    - CVE-2026-54279: host-only cookies become domain cookies after `CookieJar` persistence (bsc#1268560).
    - CVE-2026-54280: payload resources are not closed correctly when a client disconnects in the middle of a     write and       can cause resource starvation (bsc#1268561).

Tenable has extracted the preceding description block directly from the SUSE security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
443260	SCA: security update for aiohttp (GHSA-xcgm-r5h9-7989)	Tenable Cloud Security	SCA Checks	2026/6/16	2026/7/6	high
443260	SCA: security update for aiohttp (GHSA-xcgm-r5h9-7989)	Tenable Self-Hosted Container Security	SCA Checks	2026/6/16	2026/7/6	high
464806	Echo: aiohttp, python-aiohttp: security update to 3.14.1	Tenable Cloud Security	Echo Local Security Checks	2026/10/2	2026/10/5	high
464806	Echo: aiohttp, python-aiohttp: security update to 3.14.1	Tenable Self-Hosted Container Security	Echo Local Security Checks	2026/10/2	2026/10/5	high
322140	Linux Distros 未修補弱點：CVE-2026-54274	Nessus	Misc.	2026/6/22	2026/9/17	high
322140	Linux Distros 未修补的漏洞：CVE-2026-54274	Nessus	Misc.	2026/6/22	2026/9/17	high
328918	openSUSE 16 セキュリティ更新:python-aiohttp(openSUSE-SU-2026:21372-1)	Nessus	SuSE Local Security Checks	2026/7/22	2026/7/22	high
329282	SUSE SLES15 セキュリティ更新:python-aiohttp(SUSE-SU-2026:3208-1)	Nessus	SuSE Local Security Checks	2026/7/24	2026/7/24	high
329280	SUSE SLED15 / SLES15 セキュリティ更新:python-aiohttp(SUSE-SU-2026:3207-1)	Nessus	SuSE Local Security Checks	2026/7/24	2026/9/18	high
322140	Linux Distros のパッチ未適用の脆弱性: CVE-2026-54274	Nessus	Misc.	2026/6/22	2026/9/17	high
329280	SUSE SLED15 / SLES15 Security Update : python-aiohttp (SUSE-SU-2026:3207-1)	Nessus	SuSE Local Security Checks	2026/7/24	2026/9/18	high
322140	Linux Distros Unpatched Vulnerability : CVE-2026-54274	Nessus	Misc.	2026/6/22	2026/9/17	high
329282	SUSE SLES15 Security Update : python-aiohttp (SUSE-SU-2026:3208-1)	Nessus	SuSE Local Security Checks	2026/7/24	2026/7/24	high
328918	openSUSE 16 Security Update : python-aiohttp (openSUSE-SU-2026:21372-1)	Nessus	SuSE Local Security Checks	2026/7/22	2026/7/22	high

检测

插件搜索

high

high

high

high

high

high

high

high

high

high

high

high

high

high