4.0.60 之前與 5.0.22 之前 5.0.x 版 Phusion Passenger 中的 agent/Core/Controller/SendRequest.cpp，在 Apache 整合模式或不含篩選 Proxy 的獨立模式下使用時，允許遠端攻擊者透過在 HTTP 標頭中使用 _ (底線) 字元而非 - (虛線) 字元，偽造傳送至應用程式的標頭；X_User 標頭即為一例。

注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

偵測

Debian DLA-394-1：passenger 安全性更新

low Nessus Plugin ID 87978

找不到變更記錄