遠端主機上安裝的 python-urwid 版本早於 1.1.1-3。因此，它會受到 ALAS2-2026-3858 公告中提及的一個弱點影響。

    urwid Web 顯示後端 （urwid/display/web.py） 透過連接兩個使用 Python 的 Mersenne Twister PRNG 的 random.randrange（10**9） 呼叫，在 Screen.start（） 中產生 Web 工作階段識別碼 （urwid_id），這在加密上並不安全。每次呼叫消耗大約 30 位元 PRNG 狀態，而 Mersenne Twister 內部狀態約為 19,937 位元，因此觀察到大約 334 個會話 ID 的攻擊者 （例如透過 X-Urwid-ID HTTP 回應標頭） 可以完全重建內部狀態並預測所有過去和未來的會話 ID （路徑 B）。相同的識別碼也用作在全球可列出的 /tmp 目錄中建立的 FIFO 檔案名稱 （例如 /tmp/urwid375487765176907690.in），因此主機上的任何本機使用者都可以列出 /tmp 以直接列舉作用中的工作階段權杖 （路徑 A）。使用有效的工作階段 ID，攻擊者可以透過輪詢端點讀取受害者的終端螢幕，將擊鍵注入受害者的工作階段（如果工作階段執行 shell，則以工作階段所有者的權限執行作業系統級程式碼），並注入退出序列或淹沒 FIFO 以終止或崩潰工作階段。先前關於此用法的 Bandit S311 警告已使用 # noqa 隱藏：
    S311 而不是固定 （CVE-2026-9323）

Tenable 已直接從所測試產品的安全公告擷取前置描述區塊。

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

偵測

Amazon Linux 2 ： python-urwid， --advisory ALAS2-2026-3858 （ALAS-2026-3858）

critical Nessus Plugin ID 337199

版本 1.1