遠端 Debian 13 主機安裝了一個套件，該套件受到 dsa-6567 公告中提及的多個弱點影響。

    - ------------------------------------------------------------------------- Debian安全公告 DSA-6567-1 security@debian.org https://www.debian.org/security/Salvatore Bonaccorso 2026 年 10 月 16 日 https://www.debian.org/security/faq
    - -------------------------------------------------------------------------

    套件 ： cifs-utils CVE ID ： CVE-2026-12505 CVE-2026-104715 Debian 錯誤 ： 1140422

    在 cifs-utils （通用網際網路檔案系統公用程式） 中發現兩個弱點，可導致權限提升。

    對於穩定版 （trixie），這些問題已在 .4-1+deb13u1 版 2:7中修正。

    建議您升級 cifs-utils 套件。

    如需 cifs-utils 的詳細安全性狀態，請參閱其安全性追蹤器頁面：
    https://security-tracker.debian.org/tracker/cifs-utils

    有關 Debian 安全公告、如何將這些更新套用至您的系統以及常見問題的詳細資訊，請參閱 : https://www.debian.org/security/

    郵寄清單：debian-security-announce@lists.debian.org

Tenable 已直接從 Debian 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Debian 13 主機安裝的套件受到 dsa-6566 公告中提及的多個弱點影響。

    - ------------------------------------------------------------------------- Debian安全公告 DSA-6566-1 security@debian.org https://www.debian.org/security/Salvatore Bonaccorso 2026 年 10 月 16 日 https://www.debian.org/security/faq
    - -------------------------------------------------------------------------

    套件 ： expat CVE ID ： CVE-2026-66046 CVE-2026-76956 CVE-2026-76957 CVE-2026-77214 CVE-2026-93990 CVE-2026-102633 Debian 錯誤 ： 1144925 1144926 1144927 1148665 1149507 1150320

    在 XML 剖析 C 程式庫 Expat 中發現數個弱點，如果處理格式錯誤的 XML 檔案，可能會導致拒絕服務或執行任意程式碼。

    對於穩定版 （trixie），這些問題已在 2.9.0-1~deb13u1 版中修正。

    建議您升級 expat 套件。

    如需有關 expat 安全性狀態的詳細資訊，請參閱其安全追蹤頁面：
    https://security-tracker.debian.org/tracker/expat

    有關 Debian 安全公告、如何將這些更新套用至您的系統以及常見問題的詳細資訊，請參閱：https://www.debian.org/security/

    郵寄清單：debian-security-announce@lists.debian.org

Tenable 已直接從 Debian 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Debian 13 主機安裝了一個套件，該套件受到 dsa-6565 公告中提及的弱點影響。

    - ------------------------------------------------------------------------- Debian安全公告 DSA-6565-1 security@debian.org https://www.debian.org/security/Salvatore Bonaccorso 2026 年 10 月 16 日 https://www.debian.org/security/faq
    - -------------------------------------------------------------------------

    套件：spip CVE ID：尚不可用

    在 SPIP （一個用於發布的網站引擎） 中發現一個弱點，可能導致未經驗證的遠端程式碼執行。

    對於穩定版 （trixie），此問題已在 +dfsg-0+deb13u1 版 4.4.28中修正。

    建議您升級 spip 套件。

    如需有關 spip 安全性狀態的詳細資訊，請參閱其安全追蹤頁面：
    https://security-tracker.debian.org/tracker/spip

    有關 Debian 安全公告、如何將這些更新套用至您的系統以及常見問題的詳細資訊，請參閱 : https://www.debian.org/security/

    郵寄清單：debian-security-announce@lists.debian.org

Tenable 已直接從 Debian 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Debian 13 主機安裝了一個套件，該套件受到 dsa-6563 公告中提及的弱點影響。

    - ------------------------------------------------------------------------- Debian安全公告 DSA-6563-1 security@debian.org https://www.debian.org/security/Moritz Muehlenhoff 2026 年 10 月 15 日 https://www.debian.org/security/faq
    - -------------------------------------------------------------------------

    套件：mutt CVE ID： CVE-2026-107570

    據發現，Mutt 郵件使用者代理程式中 Content-Type 標頭的錯誤剖析可能會導致拒絕服務或可能執行任意程式碼。

    對於穩定版 （trixie），此問題已在 2.2.13-1+deb13u2 版中修正。

    建議您升級 mutt 套件。

    如需有關 mutt 安全性狀態的詳細資訊，請參閱其安全追蹤頁面：
    https://security-tracker.debian.org/tracker/mutt

    有關 Debian 安全公告、如何將這些更新套用至您的系統以及常見問題的詳細資訊，請參閱 : https://www.debian.org/security/

    郵寄清單：debian-security-announce@lists.debian.org

Tenable 已直接從 Debian 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Debian 13 主機已安裝的套件會受到 dsa-6564 公告中提及的弱點影響。

    - ------------------------------------------------------------------------- Debian安全公告 DSA-6564-1 security@debian.org https://www.debian.org/security/Moritz Muehlenhoff 2026 年 10 月 15 日 https://www.debian.org/security/faq
    - -------------------------------------------------------------------------

    套件：jpeg-xl CVE ID： CVE-2026-52584

    據發現，在JPEG XL格式的參考碼實作中，APNG剖析器缺少輸入清理功能，如處理格式有誤的影像，可能會導致拒絕服務或資料洩露。

    對於穩定版 （trixie），此問題已在 0.11.2-0.1~deb13u3 版本中修正。

    建議您升級 jpeg-xl 套件。

    如需有關 jpeg-xl 安全性狀態的詳細資訊，請參閱其安全追蹤頁面：
    https://security-tracker.debian.org/tracker/jpeg-xl

    有關 Debian 安全公告、如何將這些更新套用至您的系統以及常見問題的詳細資訊，請參閱 : https://www.debian.org/security/

    郵寄清單：debian-security-announce@lists.debian.org

Tenable 已直接從 Debian 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Debian 13 主機已安裝的套件會受到 dsa-6562 公告中提及的多個弱點影響。

    - ------------------------------------------------------------------------- Debian安全公告 DSA-6562-1 security@debian.org https://www.debian.org/security/Andres 所羅門 2026 年 10 月 15 日 https://www.debian.org/security/faq
    - -------------------------------------------------------------------------

    套件：chromium CVE ID： CVE-2026-110136 CVE-2026-110137 CVE-2026-110138 CVE-2026-110139 CVE-2026-110140 CVE-2026-110141 CVE-2026-110142 CVE-2026-110143 CVE-2026-110144 CVE-2026-110145 CVE-2026-110146 CVE-2026-110147 CVE-2026-110148 CVE-2026-110149 CVE-2026-110150 CVE-2026-110151 CVE-2026-110152 CVE-2026-110153 CVE-2026-110154 CVE-2026-110155 CVE-2026-110156 CVE-2026-110157 CVE-2026-110158 CVE-2026-110159 CVE-2026-110160 CVE-2026-110161 CVE-2026-110162 CVE-2026-110163 CVE-2026-110164 CVE-2026-110165 CVE-2026-110166 CVE-2026-110167 CVE-2026-110168 CVE-2026-110169 CVE-2026-110170 CVE-2026-110171 CVE-2026-110172

    據發現，Chromium 中存在安全性問題，這些問題可導致任意程式碼執行、拒絕服務或資訊洩漏攻擊。

    對於穩定版 （trixie），這些問題已在 155.0.8059.79-1~deb13u1 版中修正。

    建議您升級 chromium 套件。

    如需有關 chromium 安全性狀態的詳細資訊，請參閱其安全追蹤頁面：
    https://security-tracker.debian.org/tracker/chromium

    有關 Debian 安全公告、如何將這些更新套用至您的系統以及常見問題的詳細資訊，請參閱：https://www.debian.org/security/

    郵寄清單：debian-security-announce@lists.debian.org

Tenable 已直接從 Debian 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Debian 12 主機安裝的套件會受到 dla-4837 公告中提及的多個弱點影響。

    ------------------------------------------------------------------------- Debian LTS 公告 DLA-4837-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Andreans Henriksson 2026 年 10 月 15 日 https://wiki.debian.org/LTS-------------------------------------------------------------------------

    套件：gst-plugins-good1.0 版本：1.22.0-5+deb12u4 CVE ID： CVE-2025-47183 CVE-2026-1940 CVE-2026-3083 CVE-2026-3085 CVE-2026-17072 CVE-2026-18298 CVE-2026-18299 CVE-2026-39043 CVE-2026-39044 CVE-2026-53705 CVE-2026-73433 CVE-2026-73434 CVE-2026-88914

    在 GStreamer 多媒體架構的外掛程式集合 gst-plugins-good1.0 中發現多個弱點。處理特製的媒體檔案或 RTP 串流可能會導致拒絕服務、資訊洩露或執行任意程式碼。

    對於 Debian 12 書蟲，這些問題已在 1.22.0-5+deb12u4 版本中修復。

    建議您升級 gst-plugins-good1.0 套件。

    如需有關 gst-plugins-good1.0 安全性狀態的詳細資訊，請參閱其安全追蹤頁面：
    https://security-tracker.debian.org/tracker/gst-plugins-good1.0

    有關 Debian LTS 安全公告、如何將這些更新套用至您的系統以及常見問題的詳細資訊，請參閱：https://wiki.debian.org/LTSAttachment:signature.ascDescription: PGP 簽章

Tenable 已直接從 Debian 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Debian 12 主機安裝的套件會受到 dla-4836 公告中提及的多個弱點影響。

    - ------------------------------------------------------------------------- Debian LTS 公告 DLA-4836-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Emilio Pozuelo Monfort 2026 年 10 月 15 日 https://wiki.debian.org/LTS
    - -------------------------------------------------------------------------

    套件：firefox-esr 版本：153.5.0esr-1~deb12u1 CVE 識別碼： CVE-2026-109705 CVE-2026-109706 CVE-2026-109707 CVE-2026-109708 CVE-2026-109709 CVE-2026-109710 CVE-2026-109711 CVE-2026-109712 CVE-2026-109713 CVE-2026-109715 CVE-2026-109716 CVE-2026-109717 CVE-2026-109718 CVE-2026-109719 CVE-2026-109720 CVE-2026-109721 CVE-2026-109722 CVE-2026-109723 CVE-2026-109724 CVE-2026-109725 CVE-2026-109726 CVE-2026-109727 CVE-2026-109728 CVE-2026-109729 CVE-2026-109730 CVE-2026-109731 CVE-2026-109732 CVE-2026-109733 CVE-2026-109734 CVE-2026-109736 CVE-2026-109737 CVE-2026-109738 CVE-2026-109741 CVE-2026-109742 CVE-2026-109743 CVE-2026-109744 CVE-2026-109745 CVE-2026-109751 CVE-2026-109752 CVE-2026-109753 CVE-2026-109754 CVE-2026-109756 CVE-2026-109757 CVE-2026-109759 CVE-2026-109760 CVE-2026-109762 CVE-2026-109763 CVE-2026-109764 CVE-2026-109765 CVE-2026-109766 CVE-2026-109767 CVE-2026-109770 CVE-2026-109775 CVE-2026-109776 CVE-2026-109777 CVE-2026-109778 CVE-2026-109781 CVE-2026-109782 CVE-2026-109783

    在 Mozilla Firefox 網頁瀏覽器發現多個安全問題，可能導致執行任意程式碼、沙箱逸出、資訊洩露、繞過緩解措施或權限提升。

    對於 Debian 12 書蟲，這些問題已在 153.5.0esr-1~deb12u1 版本中修復。

    建議您升級 firefox-esr 套件。

    如需有關 firefox-esr 安全性狀態的詳細資訊，請參閱其安全追蹤頁面：
    https://security-tracker.debian.org/tracker/firefox-esr

    有關 Debian LTS 安全公告、如何將這些更新套用至您的系統以及常見問題的詳細資訊，請參閱：https://wiki.debian.org/LTS

Tenable 已直接從 Debian 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Debian 12 主機安裝的套件會受到 dla-4835 公告中提及的多個弱點影響。

    - ------------------------------------------------------------------------- Debian LTS 公告 DLA-4835-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Otto Keklinen 2026 年 10 月 14 日 https://wiki.debian.org/LTS
    - -------------------------------------------------------------------------

    套件：mariadb 版本：10.11.19-0+deb12u1 CVE ID： CVE-2026-47023 CVE-2026-60184 CVE-2026-60331 CVE-2026-60585 CVE-2026-60747 CVE-2026-61081 Debian 錯誤：1142644

    在與 MySQL 相容的 SQL 資料庫伺服器 MariaDB 中發現多個漏洞。經過身份驗證的攻擊者可能會執行拒絕服務、未經授權的讀取訪問，並可能接管 MariaDB 服務器/集群。

    此外，此更新也修正了板伺服器暴露，這是由於自上次書蟲 7 月更新以來，新的上游 systemd 啟動檔案與舊的 Debian 打包協助程式之間的互動不正確。
    請參閱 https://bugs.debian.org/1141976 更多詳細資訊。

    對於 Debian 12 書蟲，這些問題已在 10.11.19-0+deb12u1 版本中修復。

    我們建議您升級 mariadb 套件。

    有關 mariadb 的詳細安全狀態，請參閱其安全追蹤器頁面：
    https://security-tracker.debian.org/tracker/mariadb

    有關 Debian LTS 安全公告、如何將這些更新套用至您的系統以及常見問題的詳細資訊，請參閱 : https://wiki.debian.org/LTS

Tenable 已直接從 Debian 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Debian 13 主機已安裝的套件會受到 dsa-6561 公告中所述弱點的影響。

    - ------------------------------------------------------------------------- Debian 安全公告 DSA-6561-1 security@debian.org https://www.debian.org/security/Moritz Muehlenhoff 2026 年 10 月 14 日 https://www.debian.org/security/faq
    - -------------------------------------------------------------------------

    軟件包：sogo CVE ID： CVE-2026-93453 Debian錯誤：1142810 1148454

    在 SOGo 群組軟體伺服器中發現多個安全漏洞，可導致跨網站指令碼、shell 插入、密碼重設中毒或 SQL 插入。

    對於穩定版 （trixie），此問題已在 5.12.1-3+deb13u3 版中修正。

    我們建議您升級您的 sogo 套件。

    有關崇光百貨的詳細安全狀態，請參閱其安全追蹤器頁面：
    https://security-tracker.debian.org/tracker/sogo

    有關 Debian 安全公告、如何將這些更新套用至您的系統以及常見問題的詳細資訊，請參閱 : https://www.debian.org/security/

    郵寄清單：debian-security-announce@lists.debian.org

Tenable 已直接從 Debian 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Debian 13 主機已安裝的套件會受到 dsa-6559 公告中所述弱點的影響。

    - ------------------------------------------------------------------------- Debian 安全公告 DSA-6559-1 security@debian.org https://www.debian.org/security/Moritz Muehlenhoff 2026 年 10 月 14 日 https://www.debian.org/security/faq
    - -------------------------------------------------------------------------

    套件：構建流 CVE ID： CVE-2026-82331

    據發現，Buildstream 軟體整合工具中缺少 tar 來源的驗證，可能會允許在建置主機上寫入檔案。

    對於穩定版 （trixie），此問題已在 1.6.9-2+deb13u1 版中修正。

    我們建議您升級構建流套件。

    如需 buildstream 的詳細安全性狀態，請參閱其安全性追蹤器頁面：
    https://security-tracker.debian.org/tracker/buildstream

    有關 Debian 安全公告、如何將這些更新套用至您的系統以及常見問題的詳細資訊，請參閱 : https://www.debian.org/security/

    郵寄清單：debian-security-announce@lists.debian.org

Tenable 已直接從 Debian 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Debian 13 主機已安裝的套件受到 dsa-6560 公告中提及的多個弱點影響。

    - ------------------------------------------------------------------------- Debian 安全公告 DSA-6560-1 security@debian.org https://www.debian.org/security/Moritz Muehlenhoff 2026 年 10 月 14 日 https://www.debian.org/security/faq
    - -------------------------------------------------------------------------

    套件：firefox-esr CVE ID： CVE-2026-109705 CVE-2026-109706 CVE-2026-109707 CVE-2026-109708 CVE-2026-109709 CVE-2026-109710 CVE-2026-109711 CVE-2026-109712 CVE-2026-109713 CVE-2026-109715 CVE-2026-109716 CVE-2026-109717 CVE-2026-109718 CVE-2026-109719 CVE-2026-109720 CVE-2026-109721 CVE-2026-109722 CVE-2026-109723 CVE-2026-109724 CVE-2026-109725 CVE-2026-109726 CVE-2026-109727 CVE-2026-109728 CVE-2026-109729 CVE-2026-109730 CVE-2026-109731 CVE-2026-109732 CVE-2026-109733 CVE-2026-109734 CVE-2026-109736 CVE-2026-109737 CVE-2026-109738 CVE-2026-109741 CVE-2026-109742 CVE-2026-109743 CVE-2026-109744 CVE-2026-109745 CVE-2026-109751 CVE-2026-109752 CVE-2026-109753 CVE-2026-109754 CVE-2026-109756 CVE-2026-109757 CVE-2026-109759 CVE-2026-109760 CVE-2026-109762 CVE-2026-109763 CVE-2026-109764 CVE-2026-109765 CVE-2026-109766 CVE-2026-109767 CVE-2026-109770 CVE-2026-109775 CVE-2026-109776 CVE-2026-109777 CVE-2026-109778 CVE-2026-109781 CVE-2026-109782 CVE-2026-109783

    在 Mozilla Firefox 網頁瀏覽器發現多個安全問題，可能導致執行任意程式碼、沙箱逸出、資訊洩露、繞過緩解措施或權限提升。

    對於穩定版 （trixie），這些問題已在 153.5.0esr-1~deb13u1 版中修正。

    建議您升級 firefox-esr 套件。

    如需有關 firefox-esr 安全性狀態的詳細資訊，請參閱其安全追蹤頁面：
    https://security-tracker.debian.org/tracker/firefox-esr

    有關 Debian 安全公告、如何將這些更新套用至您的系統以及常見問題的詳細資訊，請參閱：https://www.debian.org/security/

    郵寄清單：debian-security-announce@lists.debian.org

Tenable 已直接從 Debian 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Debian 13 主機安裝的套件會受到 dsa-6558 公告中提及的多個弱點影響。

    - ------------------------------------------------------------------------- Debian安全公告 DSA-6558-1 security@debian.org https://www.debian.org/security/Salvatore Bonaccorso 2026 年 10 月 14 日 https://www.debian.org/security/faq
    - -------------------------------------------------------------------------

    套件：curl CVE ID： CVE-2026-92392

    據發現，cURL URL 傳輸庫在處理伺服器在上傳期間收到的 HTTP/2 RST_STREAM時容易出現釋放後使用弱點，這可能會導致遠端程式碼執行。

    對於穩定版 （trixie），此問題已在 8.14.1-2+deb13u7 版中修正。此更新還包含 的CVE-2026-8924修正，這些CVE-2026-8927修正CVE-2026-8286程式計劃與 trixie 13.8 點版本一起發布。

    建議您升級 curl 套件。

    如需有關 curl 安全性狀態的詳細資訊，請參閱其安全追蹤頁面：
    https://security-tracker.debian.org/tracker/curl

    有關 Debian 安全公告、如何將這些更新套用至您的系統以及常見問題的詳細資訊，請參閱 : https://www.debian.org/security/

    郵寄清單：debian-security-announce@lists.debian.org

Tenable 已直接從 Debian 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Debian 12 主機已安裝的套件會受到 dla-4833 公告中提及的多個弱點影響。

    - ------------------------------------------------------------------------- Debian LTS 公告 DLA-4833-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Emilio Pozuelo Monfort 2026 年 10 月 13 日 https://wiki.debian.org/LTS
    - -------------------------------------------------------------------------

    套件：chromium 版本：155.0.8059.39-1~deb12u1 CVE ID： CVE-2026-102322 CVE-2026-103621 CVE-2026-103622 CVE-2026-103623 CVE-2026-103624 CVE-2026-103625 CVE-2026-103626 CVE-2026-103627 CVE-2026-103628 CVE-2026-103629 CVE-2026-103630 CVE-2026-103631 CVE-2026-106179 CVE-2026-106180 CVE-2026-106181 CVE-2026-106182 CVE-2026-106183 CVE-2026-106184 CVE-2026-106185 CVE-2026-106186 CVE-2026-106187 CVE-2026-106188 CVE-2026-106189 CVE-2026-106190 CVE-2026-106191 CVE-2026-106192 CVE-2026-106193 CVE-2026-106194 CVE-2026-106195 CVE-2026-106196 CVE-2026-106197 CVE-2026-106198 CVE-2026-106199 CVE-2026-106200 CVE-2026-106201 CVE-2026-106202 CVE-2026-106203 CVE-2026-106204 CVE-2026-106205 CVE-2026-106206 CVE-2026-106207 CVE-2026-106208 CVE-2026-106209 CVE-2026-106210 CVE-2026-106211 CVE-2026-106212 CVE-2026-106213 CVE-2026-106214 CVE-2026-106215 CVE-2026-106216 CVE-2026-106217 CVE-2026-106220 CVE-2026-106221 CVE-2026-106222 CVE-2026-106223 CVE-2026-106224 CVE-2026-106225 CVE-2026-106226 CVE-2026-106227 CVE-2026-106228 CVE-2026-106229 CVE-2026-106230 CVE-2026-106231 CVE-2026-106232 CVE-2026-106233 CVE-2026-106234 CVE-2026-106235 CVE-2026-106236 CVE-2026-106237 CVE-2026-106238 CVE-2026-106239 CVE-2026-106240 CVE-2026-106241 CVE-2026-106242 CVE-2026-106243 CVE-2026-106244 CVE-2026-106245 CVE-2026-106246 CVE-2026-106247 CVE-2026-106248 CVE-2026-106249 CVE-2026-106250 CVE-2026-106251 CVE-2026-106252 CVE-2026-106253 CVE-2026-106254 CVE-2026-106255 CVE-2026-106256 CVE-2026-106257 CVE-2026-106258 CVE-2026-106259 CVE-2026-106260 CVE-2026-106261 CVE-2026-106262 CVE-2026-106263 CVE-2026-106264 CVE-2026-106265 CVE-2026-106266 CVE-2026-106267 CVE-2026-106268 CVE-2026-106269 CVE-2026-106270 CVE-2026-106271 CVE-2026-106272 CVE-2026-106273 CVE-2026-106274 CVE-2026-106275 CVE-2026-106276 CVE-2026-106277 CVE-2026-106278 CVE-2026-106279 CVE-2026-106280 CVE-2026-106281 CVE-2026-106282 CVE-2026-106283 CVE-2026-106284 CVE-2026-106285 CVE-2026-106286 CVE-2026-106287 CVE-2026-106288 CVE-2026-106289 CVE-2026-106290 CVE-2026-106291 CVE-2026-106292 CVE-2026-106293 CVE-2026-106294 CVE-2026-106295 CVE-2026-106296 CVE-2026-106297 CVE-2026-106298 CVE-2026-106299 CVE-2026-106300 CVE-2026-106301 CVE-2026-106302 CVE-2026-106303 CVE-2026-106304 CVE-2026-106305 CVE-2026-106306 CVE-2026-106307 CVE-2026-106308 CVE-2026-106309 CVE-2026-106310 CVE-2026-106311 CVE-2026-106312 CVE-2026-106313 CVE-2026-106314 CVE-2026-106315 CVE-2026-106316 CVE-2026-106317 CVE-2026-106318 CVE-2026-106320 CVE-2026-106321 CVE-2026-106322 CVE-2026-106323 CVE-2026-106324 CVE-2026-106325 CVE-2026-106326 CVE-2026-106327 CVE-2026-106328 CVE-2026-106329 CVE-2026-106330 CVE-2026-106331 CVE-2026-106332 CVE-2026-106333 CVE-2026-106334 CVE-2026-106335 CVE-2026-106336 CVE-2026-106337 CVE-2026-106338 CVE-2026-106339 CVE-2026-106340 CVE-2026-106341 CVE-2026-106342 CVE-2026-106343 CVE-2026-106344 CVE-2026-106345 CVE-2026-106346 CVE-2026-106347 CVE-2026-106348 CVE-2026-106349 CVE-2026-106350 CVE-2026-106351 CVE-2026-106352 CVE-2026-106353 CVE-2026-106354 CVE-2026-106355 CVE-2026-106356 CVE-2026-106357 CVE-2026-106358 CVE-2026-106359 CVE-2026-106360 CVE-2026-106361 CVE-2026-106362 CVE-2026-106363 CVE-2026-106364 CVE-2026-106365 CVE-2026-106366 CVE-2026-106367 CVE-2026-106368 CVE-2026-106369 CVE-2026-106370 CVE-2026-106371 CVE-2026-106372 CVE-2026-106373 CVE-2026-106374 CVE-2026-106375 CVE-2026-106376 CVE-2026-106377 CVE-2026-106378 CVE-2026-106379 CVE-2026-106380 CVE-2026-106381 CVE-2026-106382 CVE-2026-106383 CVE-2026-106384 CVE-2026-106385 CVE-2026-106386 CVE-2026-106387 CVE-2026-106388 CVE-2026-106389 CVE-2026-106390 CVE-2026-106391 CVE-2026-106392 CVE-2026-106393 CVE-2026-106394 CVE-2026-106395 CVE-2026-106396 CVE-2026-106397 CVE-2026-106398 CVE-2026-106399 CVE-2026-106400 CVE-2026-106401 CVE-2026-106402 CVE-2026-106403 CVE-2026-106404 CVE-2026-106405 CVE-2026-106406 CVE-2026-106407 CVE-2026-106408 CVE-2026-106409 CVE-2026-106410 CVE-2026-106411 CVE-2026-106412 CVE-2026-106413 CVE-2026-106414 CVE-2026-106415 CVE-2026-106416 CVE-2026-106417 CVE-2026-106418 CVE-2026-106419 CVE-2026-106420 CVE-2026-106421 CVE-2026-106422 CVE-2026-106423 CVE-2026-106424 CVE-2026-106425 CVE-2026-106426 CVE-2026-106427

    據發現，Chromium 中存在安全性問題，這些問題可導致任意程式碼執行、拒絕服務或資訊洩漏攻擊。

    對於 Debian 12 書蟲，這些問題已在 155.0.8059.39-1~deb12u1 版本中修復。

    建議您升級 chromium 套件。

    如需有關 chromium 安全性狀態的詳細資訊，請參閱其安全追蹤頁面：
    https://security-tracker.debian.org/tracker/chromium

    有關 Debian LTS 安全公告、如何將這些更新套用至您的系統以及常見問題的詳細資訊，請參閱 : https://wiki.debian.org/LTS

Tenable 已直接從 Debian 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Debian 12 主機已安裝的套件會受到 dla-4832 公告中提及的多個弱點影響。

    - ------------------------------------------------------------------------- Debian LTS 公告 DLA-4832-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Russell Stuart 2026 年 10 月 13 日 https://wiki.debian.org/LTS
    - -------------------------------------------------------------------------

    套件：nagios4 版本：4.4.6-4+deb12u2 CVE 識別碼： CVE-2026-48549 CVE-2026-48550 CVE-2026-48551 CVE-2026-48552 CVE-2026-48553 CVE-2026-48554

    在 Nagios 監控系統中發現多個安全漏洞，可能導致跨網站要求偽造、跨網站指令碼或執行任意命令。

    對於 Debian 12 書蟲，這些問題已在 4.4.6-4+deb12u2 版本中修復。

    我們建議您升級 nagios4 套件。

    有關 nagios4 的詳細安全狀態，請參閱其安全追蹤器頁面：
    https://security-tracker.debian.org/tracker/nagios4

    有關 Debian LTS 安全公告、如何將這些更新套用至您的系統以及常見問題的詳細資訊，請參閱 : https://wiki.debian.org/LTS

Tenable 已直接從 Debian 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Debian 13 主機已安裝的套件會受到 dsa-6557 公告中所述弱點的影響。

    - ------------------------------------------------------------------------- Debian安全公告 DSA-6557-1 security@debian.org https://www.debian.org/security/Salvatore Bonaccorso 2026 年 10 月 12 日 https://www.debian.org/security/faq
    - -------------------------------------------------------------------------

    套件：ntfs-3g CVE ID：尚不可用

    在 FUSE 的讀寫 NTFS 驅動程式 NTFS-3G 中發現多個漏洞，可導致拒絕服務、資訊洩露或可能導致本地 root 權限提升。

    對於穩定版 （trixie），這些問題已在 .10.3-5+deb13u3 版 1:2022中修正。

    建議您升級 ntfs-3g 套件。

    有關 ntfs-3g 的詳細安全狀態，請參閱其安全追蹤器頁面：
    https://security-tracker.debian.org/tracker/ntfs-3g

    有關 Debian 安全公告、如何將這些更新套用至您的系統以及常見問題的詳細資訊，請參閱 : https://www.debian.org/security/

    郵寄清單：debian-security-announce@lists.debian.org

Tenable 已直接從 Debian 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Debian 13 主機已安裝的套件會受到 dsa-6555 公告中所述弱點的影響。

    - ------------------------------------------------------------------------- Debian安全公告 DSA-6555-1 Müehlenhoff security@debian.org https://www.debian.org/security/Moritz 2026 年 10 月 12 日 https://www.debian.org/security/faq
    - -------------------------------------------------------------------------

    套件：librsvg CVE ID： CVE-2026-96889

    據發現，librsvg（一個用於渲染可縮放向量圖形的程式庫）錯誤地剖析了具有巢狀 XML 包含的檔案，這可能會導致拒絕服務或可能執行任意程式碼。

    對於穩定版 （trixie），此問題已在 +dfsg-1+deb13u1 版 2.60.0中修正。

    建議您升級 librsvg 套件。

    如需有關 librsvg 安全性狀態的詳細資訊，請參閱其安全追蹤頁面：
    https://security-tracker.debian.org/tracker/librsvg

    有關 Debian 安全公告、如何將這些更新套用至您的系統以及常見問題的詳細資訊，請參閱 : https://www.debian.org/security/

    郵寄清單：debian-security-announce@lists.debian.org

Tenable 已直接從 Debian 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Debian 13 主機已安裝的套件會受到 dsa-6554 公告中所述弱點的影響。

    - ------------------------------------------------------------------------- Debian安全公告 DSA-6554-1 Müehlenhoff security@debian.org https://www.debian.org/security/Moritz 2026 年 10 月 12 日 https://www.debian.org/security/faq
    - -------------------------------------------------------------------------

    套件：keystone CVE ID： CVE-2026-90460

    在 OpenStack 身分識別服務 Keystone 中處理委派驗證時發現弱點，可能導致權限提升的資訊洩露。

    對於穩定版 （trixie），此問題已在 .0.0-3+deb13u6 版 2:27中修正。

    我們建議您升級 keystone 套件。

    有關 keystone 的詳細安全狀態，請參閱其安全追蹤器頁面：
    https://security-tracker.debian.org/tracker/keystone

    有關 Debian 安全公告、如何將這些更新套用至您的系統以及常見問題的詳細資訊，請參閱 : https://www.debian.org/security/

    郵寄清單：debian-security-announce@lists.debian.org

Tenable 已直接從 Debian 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Debian 13 主機已安裝的套件會受到 dsa-6556 公告中提及的多個弱點影響。

    - ------------------------------------------------------------------------- Debian安全公告 DSA-6556-1 Müehlenhoff security@debian.org https://www.debian.org/security/Moritz 2026 年 10 月 12 日 https://www.debian.org/security/faq
    - -------------------------------------------------------------------------

    套件：nagios4 CVE ID： CVE-2026-48549 CVE-2026-48550 CVE-2026-48551 CVE-2026-48552 CVE-2026-48553 CVE-2026-48554

    在 Nagios 監控系統中發現多個安全漏洞，可能導致跨網站要求偽造、跨網站指令碼或執行任意命令。

    對於穩定版 （trixie），這些問題已在 4.4.6-4.1+deb13u2 版中修正。

    我們建議您升級 nagios4 套件。

    有關 nagios4 的詳細安全狀態，請參閱其安全追蹤器頁面：
    https://security-tracker.debian.org/tracker/nagios4

    有關 Debian 安全公告、如何將這些更新套用至您的系統以及常見問題的詳細資訊，請參閱 : https://www.debian.org/security/

    郵寄清單：debian-security-announce@lists.debian.org

Tenable 已直接從 Debian 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Debian 13 主機已安裝的套件會受到 dsa-6551 公告中所述弱點的影響。

    - ------------------------------------------------------------------------- Debian安全公告 DSA-6551-1 security@debian.org https://www.debian.org/security/Moritz Muehlenhoff 2026 年 10 月 10 日 https://www.debian.org/security/faq
    - -------------------------------------------------------------------------

    套件：tor CVE ID：尚不可用

    在基於連接的低延遲匿名通信系統 Tor 中發現了多個安全漏洞。

    對於穩定版 （trixie），此問題已在 0.4.9.14-0+deb13u1 版中修正。

    建議您升級 tor 套件。

    有關 tor 的詳細安全狀態，請參閱其安全追蹤器頁面：
    https://security-tracker.debian.org/tracker/tor

    有關 Debian 安全公告、如何將這些更新套用至您的系統以及常見問題的詳細資訊，請參閱 : https://www.debian.org/security/

    郵寄清單：debian-security-announce@lists.debian.org

Tenable 已直接從 Debian 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Debian 12 主機已安裝的套件會受到 dla-4830 公告中提及的弱點影響。

    - ------------------------------------------------------------------------- Debian LTS 公告 DLA-4830-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Bastien Roucaris 2026 年 10 月 8 日 https://wiki.debian.org/LTS
    - -------------------------------------------------------------------------

    套件 ： twitter-bootstrap3 版本 ： 3.4.1+dfsg-3+deb12u2 CVE ID ： CVE-2025-1647 Debian 錯誤 ： 1105899

    twitter-bootstrap3 一個流行的前端框架受到弱點的影響。

    在 Bootstrap 3 Popover 元件和 Bootstrap 3 Tooltip 元件中發現一個跨網站指令碼 （XSS） 弱點，該弱點允許使用未經清理的 HTML。

    如果您透過模組捆綁器使用 bootstrap，則可能需要重建應用程式。

    對於 Debian 12 書蟲，此問題已在 +dfsg-3+deb12u2 版本 3.4.1中修復。

    建議您升級 twitter-bootstrap3 套件。

    有關 twitter-bootstrap3 的詳細安全狀態，請參閱其安全追蹤器頁面：
    https://security-tracker.debian.org/tracker/twitter-bootstrap3

    有關 Debian LTS 安全公告、如何將這些更新套用至您的系統以及常見問題的詳細資訊，請參閱:https://wiki.debian.org/LTS

Tenable 已直接從 Debian 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Debian 12 主機已安裝的套件會受到 dla-4829 公告中提及的多個弱點影響。

    - Quigley debian-lts@lists.debian.org ------------------------------------------------------------------------- https://www.debian.org/lts/security/Simon Debian LTS 公告 DLA-4829-1 2026 年 10 月 8 日https://wiki.debian.org/LTS
    - -------------------------------------------------------------------------

    套件 ： rails 版本 ： 2:6.1.7.10+dfsg-1~deb12u3 CVE ID ： CVE-2026-33168 CVE-2026-33169 CVE-2026-33170 CVE-2026-33173 CVE-2026-33176 CVE-2026-33195 CVE-2026-33202 CVE-2026-66066 Debian 錯誤 ： 1132035 1143080

    在 Rails Web 架構中發現多個安全性問題，這些問題可能導致跨網站指令碼、拒絕服務、路徑遊走或執行任意程式碼。

    CVE-2026-33168

        在動作檢視中，當 HTML 屬性名稱為空白時，標籤協助程式會略過逸出，這可能會允許跨網站指令碼。現在會刪除空白屬性名稱。

    CVE-2026-33169

        在主動支援中，number_to_delimited對長數字字串花費二次時間，這可用於拒絕服務。

    CVE-2026-33170

        在 Active Support 中，使用 % 格式化不安全的 SafeBuffer 會將結果標示為 html_safe，這可能會允許跨網站指令碼。
        結果現在仍然不安全。

    CVE-2026-33173

        在 Active Storage 中，直接上傳可以設定已分析和識別的中繼資料金鑰，並略過內容類型偵測。這些金鑰現在會從用戶端提供的中繼資料中刪除。

    CVE-2026-33176

        在動作檢視中，數字協助程式透過 BigDecimal 擴充科學記數法，因此 1E1000 等輸入可能會耗用過多的 CPU 和記憶體，進而導致拒絕服務。

    CVE-2026-33195

        在 Active Storage 中，磁碟服務接受包含 ../，這允許在儲存根目錄之外進行路徑遊走。這類金鑰現在會引發 InvalidKeyError。

    CVE-2026-33202

        在 Active Storage 中，磁碟服務的delete_prefixed會將前置詞傳遞至 Dir.glob，而不會逸出，因此 glob 中繼字元可能會刪除非預期的檔案。Glob 中繼字元現在已逸出。

    CVE-2026-66066

        在 Active Storage 中，將變體處理器設定為 ：vips 的應用程式會啟用 libvips 的不受信任、未模糊的載入器，這可能會允許特製的影像執行任意程式碼。vips 處理器現在會封鎖不受信任的載入器。預設的 MiniMagick 處理器不受影響。

    對於 Debian 12 書蟲，這些問題已在 .1.7.10+dfsg-1~deb12u3 版本 2:6中修復。

    建議您升級 rails 套件。

    如需有關 rails 安全性狀態的詳細資訊，請參閱其安全追蹤頁面：
    https://security-tracker.debian.org/tracker/rails

    有關 Debian LTS 安全公告、如何將這些更新套用至您的系統以及常見問題的更多資訊，請參閱： https://wiki.debian.org/LTS

Tenable 已直接從 Debian 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Debian 12 主機已安裝的套件會受到 dla-4827 公告中提及的多個弱點影響。

    - ------------------------------------------------------------------------- Debian LTS 公告 DLA-4827-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Andrej Shadura 2026 年 10 月 8 日 https://wiki.debian.org/LTS
    - -------------------------------------------------------------------------

    套件 ： python3.11 版本 ： 3.11.2-6+deb12u9 CVE ID ： CVE-2025-69534 CVE-2026-1502 CVE-2026-3276 CVE-2026-6019 CVE-2026-8328 CVE-2026-9669 CVE-2026-15308 CVE-2026-15310 CVE-2026-15806 CVE-2026-17084 CVE-2026-18503 CVE-2026-19445 CVE-2026-19553 Debian 錯誤 ： 1131896

    Python 3.11中的多個漏洞。

    CVE-2025-69534

        格式錯誤的標記宣告可能會使 html.parser.HTMLParser 引發未處理的 AssertionError。剖析不受信任 HTML 的應用程式 （例如 Python-Markdown 轉譯不受信任的輸入） 可能會當機，進而導致拒絕服務。

    CVE-2026-1502

        http.client 未拒絕代理通道主機或通道要求標頭中的 CR/LF 位元組，這可能會允許 HTTP 標頭插入。

    CVE-2026-3276

        unicodedata.normalize（） 在處理特製的 Unicode 輸入時，可能會佔用過多的 CPU 時間，其中包含長時間的組合字元與交替的標準組合類別值。這會影響所有正規化形式。

    CVE-2026-6019

        http.cookies.Morsel.js_output（） 傳回一個內嵌 <script> 程式碼片段，其中 cookie 值僅針對 JavaScript 字串內容逸出，而不會中和 </script> 序列，因此攻擊者控制的 cookie 值可以將標記插入頁面。

    CVE-2026-8328

        修正時 CVE-2021-4189 未更新 ftplib.ftpcp（），但仍會將來源伺服器傳回的 PASV 位址傳遞至目標伺服器。惡意來源 FTP 伺服器可以使用此功能將目標伺服器的資料連線導向至任意主機和連接埠。

    CVE-2026-9669

        bz2。BZ2Decompressor 物件可以在解壓縮錯誤之後重複使用。如果應用程式擷取產生的 OSError 並使用相同的解壓縮器重試，則特製的輸入可能會導致堆疊緩衝區越界寫入，進程當機。

    CVE-2026-15308

        以增量方式向 html.parser.HTMLParser 提供長而未終止的結構 （例如標籤或註解） 需要二次時間，從而允許透過 CPU 耗盡而造成拒絕服務。

    CVE-2026-15310

        當使用 bzip2 或 LZMA 壓縮解壓縮特製的 zip 檔案時，zipfile 可以使用攻擊者控制的大小來預先配置內存，從而可能導致記憶體耗盡。

    CVE-2026-15806

        urllib.request.HTTPPasswordMgr 及其子類別在比對已儲存的憑證時未考慮 URL 配置。
        為 https:// URL 新增的憑證也會透過 http:// 傳送至相同的主機，因此能夠將用戶端重新導向或降級為純HTTP的攻擊者可以以純文字形式擷取它們。

    CVE-2026-17084

        stringprep 模組在檢查表格 B.2 和 B.3 時，使用當前的 Unicode 程式碼點屬性，而不是 RFC 3454 的要求 Unicode 3.2.0的屬性。在處理具有 IDNA 2003 （idna） 編解碼器的網域名稱時，這可能會導致不相符。

    CVE-2026-18503

        攻擊者控制的 CSV 範例可觸發 CSV 中的超線性規則運算式比對。Sniffer.sniff（），佔用大量 CPU 時間。

    CVE-2026-19445

        如果伺服器的sni_callback將不同的內容指派給 SSLSocket.context，而且沒有其他內容保留原始 SSL，則遠端未經驗證的 TLS 用戶端可能會使伺服器當機或透過釋放的指標呼叫。SSLContext 處於活動狀態。


    CVE-2026-19553

        ssl。啟用 check_hostname 時，SSLContext.wrap_bio（） 不需要 server_hostname 引數，因此可以無訊息地跳過主機名稱驗證;asyncio 的 create_connection（） 和 loop.start_tls（） 也受到影響。為了相容性，Python 3.11 現在在這種情況下會發出 DeprecationWarning，而不是引發 ValueError，因此應用程式仍然需要傳遞有效的server_hostname。

    對於 Debian 12 書蟲，這些問題已在 3.11.2-6+deb12u9 版本中修復。

    此外，此更新還包含下列相關的上游修正：

      * csv。Sniffer.sniff（） 在偵測雙引號時，在具有許多引號字元的樣本上可能需要指數時間 （gh-109638）。

      * 當重複的子模式包含回溯時，具有所有格量詞的規則運算式可能會給出錯誤的比對 （gh-100061、gh-106052）。

      * html.parser.HTMLParser 未根據 HTML5 標準剖析開始和結束標籤，並且在未關閉的指令碼或樣式標籤 （GH-135661、GH-86155） 後可能會遺失資料。修正後，某些格式錯誤的標記會以不同的方式剖析;例如， </ script> 不再結束指令碼元素。

    建議您升級 python3.11 套件。

    如需 python3.11 的詳細安全性狀態，請參閱其安全追蹤頁面：
    https://security-tracker.debian.org/tracker/python3.11

    有關 Debian LTS 安全公告、如何將這些更新套用至您的系統以及常見問題的詳細資訊，請參閱 : https://wiki.debian.org/LTS

Tenable 已直接從 Debian 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Debian 13 主機已安裝的套件會受到 dsa-6549 公告中所述弱點的影響。

    - ------------------------------------------------------------------------- Debian安全公告 DSA-6549-1 security@debian.org https://www.debian.org/security/Salvatore Bonaccorso 2026 年 10 月 7 日 https://www.debian.org/security/faq
    - -------------------------------------------------------------------------

    套件 ： xz-utils CVE ID ： 尚不可用 Debian 錯誤 ： 1147318

    據發現，xz-utils（XZ 格式壓縮公用程式）的 LZMA1 解碼器中的無效記憶體寫入可能會導致拒絕服務或可能執行任意程式碼。

    對於穩定版 （trixie），此問題已在 5.8.1-1+deb13u2 版中修正。

    建議您升級 xz-utils 套件。

    如需有關 xz-utils 安全狀態的詳細資訊，請參閱其安全追蹤頁面:
    https://security-tracker.debian.org/tracker/xz-utils

    有關 Debian 安全公告、如何將這些更新套用至您的系統以及常見問題的詳細資訊，請參閱 : https://www.debian.org/security/

    郵寄清單：debian-security-announce@lists.debian.org

Tenable 已直接從 Debian 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Debian 12 主機安裝了一個套件，該套件受到 dla-4826 公告中提及的多個弱點的影響。

    - ------------------------------------------------------------------------- Debian LTS 公告 DLA-4826-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Abhijith 賓夕法尼亞州 2026 年 10 月 7 日 https://wiki.debian.org/LTS
    - -------------------------------------------------------------------------

    套件：puma 版本：5.6.5-3+deb12u2 CVE 識別碼： CVE-2026-47736 CVE-2026-47737

    在 Puma 中發現了兩個漏洞，Puma 是一款簡單、快速、線程化且高度並發的 Ruby/Rack 應用程序服務器

    CVE-2026-47736

        啟用 PROXY 通訊協定 v1 支援時，Puma 會在等待 CRLF 判斷是否存在 PROXY v1 行的同時，將傳入的位元組讀取到內部緩衝區中，從而允許攻擊者在沒有 CRLF 的情況下連續傳送位元組，從而造成無限的進程內記憶體增長，並因重複掃描不斷增長的緩衝區而產生額外的 CPU 成本。

    CVE-2026-47737

        當啟用 set_remote_address proxy_protocol：v1 並使用持久連接時，Puma 容易受到來源 IP 欺騙，因為 Puma 在同一連線上的每個保持連線請求後錯誤地重新剖析 PROXY 協定標頭，從而允許攻擊者插入第二個 PROXY 標頭並覆寫REMOTE_ADDR。

    對於 Debian 12 書蟲，這些問題已在 5.6.5-3+deb12u2 版本中修復。

    建議您升級 puma 套件。

    如需有關 puma 安全性狀態的詳細資訊，請參閱其安全追蹤頁面：
    https://security-tracker.debian.org/tracker/puma

    有關 Debian LTS 安全公告、如何將這些更新套用至您的系統以及常見問題的詳細資訊，請參閱：https://wiki.debian.org/LTS

Tenable 已直接從 Debian 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Debian 13 主機安裝了一個套件，該套件受到 dsa-6548 公告中提及的多個弱點影響。

    - ------------------------------------------------------------------------- Debian安全公告 DSA-6548-1 security@debian.org https://www.debian.org/security/Salvatore Bonaccorso 2026 年 10 月 6 日 https://www.debian.org/security/faq
    - -------------------------------------------------------------------------

    套件 ： node-shell-quote CVE ID ： CVE-2026-13311 CVE-2026-102422 Debian 錯誤 ： 1140921 1149713

    在 node-shell-quote 中發現兩個弱點，node-shell-quote 是一個用於引用和剖析殼層命令的Node.js模組，這可能導致拒絕服務或殼層命令插入。

    對於穩定版 （trixie），這些問題已在 +~1.7.1-1+deb13u2 版 1.7.4中修正。

    我們建議您升級 node-shell-quote 套件。

    有關 node-shell-quote 的詳細安全狀態，請參閱其安全追蹤器頁面：
    https://security-tracker.debian.org/tracker/node-shell-quote

    有關 Debian 安全公告、如何將這些更新套用至您的系統以及常見問題的詳細資訊，請參閱 : https://www.debian.org/security/

    郵寄清單：debian-security-announce@lists.debian.org

Tenable 已直接從 Debian 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Debian 13 主機安裝了一個套件，該套件受到 dsa-6547 公告中提及的弱點影響。

    - ------------------------------------------------------------------------- Debian安全公告 DSA-6547-1 security@debian.org https://www.debian.org/security/Moritz Muehlenhoff 2026 年 10 月 6 日 https://www.debian.org/security/faq
    - -------------------------------------------------------------------------

    套件：ruby-jwt CVE ID： CVE-2026-45363

    據發現，Ruby 中的 JSON Web 權杖實作 ruby-jwt 未充分驗證某些權杖的 HMAC。

    對於穩定版 （trixie），此問題已在 2.7.1-1+deb13u1 版中修正。

    我們建議您升級 ruby-jwt 套件。

    有關 ruby-jwt 的詳細安全狀態，請參閱其安全追蹤器頁面：
    https://security-tracker.debian.org/tracker/ruby-jwt

    有關 Debian 安全公告、如何將這些更新套用至您的系統以及常見問題的詳細資訊，請參閱 : https://www.debian.org/security/

    郵寄清單：debian-security-announce@lists.debian.org

Tenable 已直接從 Debian 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Debian 13 主機上安裝的多個套件受到 dsa-6546 公告中提及的多個弱點影響。

    - ------------------------------------------------------------------------- Debian 安全公告 DSA-6546-1 security@debian.org https://www.debian.org/security/Moritz Muehlenhoff 2026 年 10 月 6 日https://www.debian.org/security/faq
    - -------------------------------------------------------------------------

    套件：rails CVE ID：CVE-2026-33168 CVE-2026-33169 CVE-2026-33170 CVE-2026-33173 CVE-2026-33174 CVE-2026-33176 CVE-2026-33195 CVE-2026-33202 CVE-2026-33658 CVE-2026-66066

    在 Rails 網路框架中發現多個安全性問題，其可能導致跨網站指令碼、拒絕服務、路徑遊走或任意程式碼執行。

    針對穩定的發行版本 (trixie)，已在 2:7.2.2.2+dfsg-2~deb13u2 版本中修復這些問題。

    建議您升級 rails 套件。

    如需有關 rails 安全性狀態的詳細資訊，請參閱其安全追蹤頁面：
    https://security-tracker.debian.org/tracker/rails

    有關 Debian 安全公告、如何將這些更新套用至您的系統以及常見問題的詳細資訊，請參閱 : https://www.debian.org/security/

    郵寄清單：debian-security-announce@lists.debian.org

Tenable 已直接從 Debian 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Debian 12 主機安裝了一個套件，該套件受到 dla-4825 公告中提及的弱點影響。

    - ------------------------------------------------------------------------- Debian LTS 公告 DLA-4825-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Thorsten Alteholz 2026 年 10 月 6 日 https://wiki.debian.org/LTS
    - -------------------------------------------------------------------------

    套件：suricata-update 版本：1.2.7-1+deb12u1 CVE ID： CVE-2026-63347


    Guillem Lefait 在更新 Suricata 規則的工具 suricata-update 中發現了一次路徑遊走攻擊，該攻擊允許格式錯誤的規則覆蓋系統上的檔案。


    對於 Debian 12 書蟲，此問題已在 1.2.7-1+deb12u1 版本中修復。

    我們建議您升級 suricata-update 套件。

    有關 suricata-update 的詳細安全狀態，請參閱其安全追蹤器頁面：
    https://security-tracker.debian.org/tracker/suricata-update

    有關 Debian LTS 安全公告、如何將這些更新套用至您的系統以及常見問題的詳細資訊，請參閱 : https://wiki.debian.org/LTS

Tenable 已直接從 Debian 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Debian 13 主機已安裝的套件會受到 dsa-6545 公告中提及的弱點影響。

    - ------------------------------------------------------------------------- Debian安全公告 DSA-6545-1 security@debian.org https://www.debian.org/security/Salvatore Bonaccorso 2026 年 10 月 6 日 https://www.debian.org/security/faq
    - -------------------------------------------------------------------------

    套件 ： roundcube CVE ID ： 尚不可用 Debian 錯誤 ： 1146838

    在 roundcube（一種基於 IMAP 伺服器的可剝皮 AJAX 網路郵件解決方案）中發現多個漏洞，這可能導致跨網站指令碼、繞過 SRF、電子郵件標頭插入、CSS 屬性插入、繞過遠端內容封鎖、資訊洩露或權限提升。

    針對穩定的發行版本 (trixie)，這些問題已在 1.6.19+dfsg-0+deb13u1 版本中修復。

    建議您升級 roundcube 套件。

    如需有關 roundcube 安全性狀態的詳細資訊，請參閱其安全追蹤頁面：
    https://security-tracker.debian.org/tracker/roundcube

    有關 Debian 安全公告、如何將這些更新套用至您的系統以及常見問題的詳細資訊，請參閱：https://www.debian.org/security/

    郵寄清單：debian-security-announce@lists.debian.org

Tenable 已直接從 Debian 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Debian 12 主機已安裝的套件會受到 dla-4824 公告中提及的弱點影響。

    - ----------------------------------------------------------------------- Debian LTS 公告 DLA-4824-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Utkarsh Gupta 2026 年 10 月 6 日 https://wiki.debian.org/LTS
    - -----------------------------------------------------------------------

    套件：libpng1.6 版本：1.6.39-2+deb12u6 CVE 識別碼： CVE-2026-46675

    在 libpng 中發現釋放後使用，libpng 是一個實現用於讀取和寫入 PNG（可攜式網路圖形）介面的函式庫，這可能會導致拒絕服務。

    對於 Debian 12 書蟲，此問題已在 1.6.39-2+deb12u6 版本中修復。

    我們建議您升級 libpng1.6 套件。

    有關 libpng1.6 的詳細安全狀態，請參閱其安全追蹤器頁面：
    https://security-tracker.debian.org/tracker/libpng1.6

    有關 Debian LTS 安全公告、如何將這些更新套用至您的系統以及常見問題的詳細資訊，請參閱 : https://wiki.debian.org/LTS

Tenable 已直接從 Debian 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Debian 12 主機安裝了一個套件，該套件受到 dla-4822 公告中提及的弱點影響。

    - 2026 年 10 月 5 日 Quigley debian-lts@lists.debian.org ------------------------------------------------------------------------- https://www.debian.org/lts/security/Simon Debian LTS 公告DLA-4822-1https://wiki.debian.org/LTS
    - -------------------------------------------------------------------------

    套件：ruby-oauth2 版本：1.4.4-1+deb12u1 CVE 識別碼： CVE-2026-54603

    在 OAuth 2.0的 Ruby 程式庫 ruby-oauth2 中發現弱點，這可能導致持有人權杖被傳送至由重新導向位置命名的主機。

    對於 Debian 12 書蟲，此問題已在 1.4.4-1+deb12u1 版本中修復。

    我們建議您升級 ruby-oauth2 套件。

    有關 ruby-oauth2 的詳細安全狀態，請參閱其安全追蹤器頁面：
    https://security-tracker.debian.org/tracker/ruby-oauth2

    有關 Debian LTS 安全公告、如何將這些更新套用至您的系統以及常見問題的詳細資訊，請參閱 : https://wiki.debian.org/LTS

Tenable 已直接從 Debian 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Debian 13 主機安裝了一個套件，該套件受到 dsa-6544 公告中提及的弱點影響。

    - ------------------------------------------------------------------------- Debian安全公告 DSA-6544-1 security@debian.org https://www.debian.org/security/Moritz Muehlenhoff 2026 年 10 月 5 日 https://www.debian.org/security/faq
    - -------------------------------------------------------------------------

    套件：sabnzbdplus CVE ID：尚不可用

    SABnzbd+ 二進位新聞閱讀器/抓取程式的網頁介面內發現多個保安漏洞，可導致執行任意程式碼或繞過授權。

    對於穩定版 （trixie），此問題已在 +dfsg-1+deb13u2 版 4.5.0中修正。

    我們建議您升級 sabnzbdplus 套件。

    有關 sabnzbdplus 的詳細安全狀態，請參閱其安全追蹤器頁面：
    https://security-tracker.debian.org/tracker/sabnzbdplus

    有關 Debian 安全公告、如何將這些更新套用至您的系統以及常見問題的詳細資訊，請參閱：https://www.debian.org/security/

    郵寄清單：debian-security-announce@lists.debian.org

Tenable 已直接從 Debian 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Debian 12 主機已安裝的套件會受到 dla-4823 公告中提及的多個弱點影響。

    ------------------------------------------------------------------------- Debian LTS 公告 DLA-4823-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Guilhem Moulin 2026 年 10 月 5 日 https://wiki.debian.org/LTS-------------------------------------------------------------------------

    套件 ： roundcube 版本 ： 1.6.5+dfsg-1+deb12u12 CVE ID ： 尚不可用 Debian 錯誤 ： 1146838

    在 Roundcube（一種用於 IMAP 伺服器的可剝皮 AJAX 網路郵件解決方案）中發現多個漏洞，這可能導致跨網站指令碼、伺服器端請求偽造、資訊洩露、電子郵件標頭插入或權限提升。

        Zach Hanley 發現 CSS 清理器容易透過未編碼的 & 符號發射進行申報走私，這可能導致遠端影像封鎖繞過或 XSS。

        CSS 清理器容易透過正文「background」屬性插入屬性，這可能會導致遠端影像封鎖繞過或 XSS。

        sendmail 邏輯容易透過主旨欄位中的裸 CR、收件者顯示名稱中的 C-escape '\r' 和/或身分的組織欄位來插入電子郵件標頭。

        附件 URL 容易受到 TNEF MIME 標籤插入，這可能會導致零點擊儲存的 XSS。

        Joshua Rogers 發現 HTML 編輯器中的文字/豐富部分內容容易出現 XSS。

        Joshua Rogers 發現聯絡人群組成員資格動作新增/移除容易發生跨使用者存取。

        對 、 CVE-2026-48843和 CVE-2026-62643CVE-2026-75006 的 CVE-2026-35540CSS 清理修正不足，允許文字/html 電子郵件中的惡意內嵌樣式表導致 SSRF 或資訊洩露。

        Wahab Khadir 發現，HTML/CSS 清理不足可能會導致遠端影像封鎖繞過或透過 FuncIRI 屬性中的 CSS 逸出進行 XSS。

        HTML/CSS 清理不足可能會導致遠端影像封鎖繞過或透過 SVG SMIL src 動畫進行 XSS。

    對於 Debian 12 書蟲，此問題已在 +dfsg-1+deb12u12 版本 1.6.5中修復。

    建議您升級 roundcube 套件。

    如需有關 roundcube 安全性狀態的詳細資訊，請參閱其安全追蹤頁面：
    https://security-tracker.debian.org/tracker/roundcube

    有關 Debian LTS 安全公告、如何將這些更新套用至您的系統以及常見問題的詳細資訊，請參閱：https://wiki.debian.org/LTSAttachment:signature.ascDescription: PGP signature

Tenable 已直接從 Debian 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Debian 13 主機已安裝的套件會受到 dsa-6543 公告中提及的多個弱點影響。

    - ------------------------------------------------------------------------- Debian安全公告 DSA-6543-1 security@debian.org https://www.debian.org/security/Moritz Muehlenhoff 2026 年 10 月 5 日 https://www.debian.org/security/faq
    - -------------------------------------------------------------------------

    套件：libreoffice CVE ID： CVE-2026-63266 CVE-2026-63267 CVE-2026-63268 CVE-2026-63269 CVE-2026-63270 CVE-2026-63277

    在 LibreOffice 中發現多個安全漏洞，如果開啟格式錯誤的文件檔案，可能會導致拒絕服務、資訊洩露或執行任意程式碼。

    對於穩定版 （trixie），這些問題已在 .2.3-2+deb13u8 版 4:25中修正。

    建議您升級 libreoffice 套件。

    如需有關 libreoffice 安全性狀態的詳細資訊，請參閱其安全追蹤頁面：
    https://security-tracker.debian.org/tracker/libreoffice

    有關 Debian 安全公告、如何將這些更新套用至您的系統以及常見問題的詳細資訊，請參閱：https://www.debian.org/security/

    郵寄清單：debian-security-announce@lists.debian.org

Tenable 已直接從 Debian 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Debian 12 主機上安裝的多個套件受到 dla-4821 公告中提及的多個弱點影響。

    - ------------------------------------------------------------------------- Debian LTS 公告DLA-4821-1debian-lts@lists.debian.orghttps://www.debian.org/lts/security/ArnaudRebillout 2026 年 10 月 5 日https://wiki.debian.org/LTS
    - -------------------------------------------------------------------------

    套件：perl 版本：5.36.0-7+deb12u4 CVE ID：CVE-2025-15649 CVE-2026-7010 CVE-2026-7017 CVE-2026-8376 CVE-2026-12087 CVE-2026-13221 CVE-2026-19487 CVE-2026-42496 CVE-2026-42497 CVE-2026-48959 CVE-2026-48962 CVE-2026-57432 CVE-2026-57433 Debian 錯誤：1137345 1138854 1138856 1138858 1138859 1138860 1138863 1138905 1138906 1140152 1141639 1142037 1144668

    在 Perl 程式設計語言中發現多個弱點。

    CVE-2025-15649

        IO::Uncompress::Unzip 中的標頭剖析

        Perl 的 IO::Uncompress::Unzip 版本低於 2.215 時，在剖析包含格式錯誤 DOS 日期的 ZIP 標頭時，可能會傳播未捕獲的異常。
        _dosToUnixTime() 會解碼本地檔案標頭中的最後修改日期欄位，並在沒有 eval 防護的情況下呼叫 Time::Local::timelocal()。如果標頭中的日期欄位解碼後包含超出有效範圍的月份、日期或小時，timelocal() 就會拋出例外並導致程式終止。此例外會一路傳播出 IO::Uncompress::Unzip->new($file)；然而，呼叫端原本預期的是回傳 undef，並透過 $UnzipError 提供錯誤資訊。

    CVE-2026-7010

        HTTP::Tiny 中的 CRLF 驗證

        Perl 的 HTTP::Tiny 0.093 之前版本，未驗證 HTTP 請求行或控制欄位標頭值中的 CRLF 字元。未經驗證的輸入包括請求行中的方法與 URI，會成為 Host: 標頭的 URL 主機以及 HTTP/1.1 控制資料欄位的值。
        如果攻擊者能控制其中任一輸入，例如將使用者提供的 URL 傳入 Webhook 或 URL 擷取端點，就可能注入額外標頭，並向上游伺服器進行請求走私攻擊。

    CVE-2026-7017

        HTTP::Tiny 在重新導向時轉發認證憑證

        Perl 的 HTTP::Tiny 0.095 之前版本，會將憑證標頭轉發至跨來源的重新導向目標。當伺服器回傳 3xx 重新導向時，_maybe_redirect 會遵循 Location: 標頭，而 _prepare_headers_and_cb 會在未檢查重新導向目標是否與原始 URL 共用相同來源的情況下，將呼叫端傳入的 headers 引數重新合併至新請求中。因此，呼叫端提供的 Authorization、Cookie 和 Proxy-Authorization 標頭，可能會被重新傳送至重新導向所指定的任何主機，甚至跨越通訊協定、主機或連接埠邊界；其中也包括從 https 降級至 http 的情況，導致這些憑證以明文形式在網路上傳輸。HTTP::Tiny POD 中「重新導向的請求不會包含 Authorization 標頭」的說明，僅適用於透過 URL 使用者資訊所進行的 Basic-Auth 路徑，並不適用於由呼叫端明確傳入的標頭。

    CVE-2026-8376

        Perl_study_chunk 中的緩衝區溢位

        Perl 5.40.5-RC1 之前的版本、5.41.0 至 5.42.3-RC1 之前的版本，以及 5.43.0 至 5.43.11 之前的版本，在 32 位元建置環境中編譯包含重複固定字串的規則運算式時，存在堆積緩衝區溢位問題。
        regcomp_study.c 中的 Perl_study_chunk 會檢查已聯結子字串緩衝區的大小(以字元而非位元組為單位)。對於具有較大最小重複次數的量化固定子字串，
        其位元組長度 mincount * l 可能會溢位 SSize_t，導致 SvGROW 配置的緩衝區大小不足；後續的複製操作便會寫入緩衝區末端之外。如果呼叫端在 32 位元 Perl 建置環境中編譯由攻擊者控制的規則運算式，就可能在編譯期間觸發堆積緩衝區溢位。

    CVE-2026-12087

        Socket::pack_ip_mreq_source() 超出邊界堆積讀取

        Perl 的 Socket 2.041 之前版本存在超出邊界堆積讀取弱點。在 Socket.xs 中，pack_ip_mreq_source() 會在讀取 source 引數之前檢查其長度。因此，該檢查實際上測試的是前一個 multiaddr 引數遺留下來的位元組長度，而不是 source 的長度。由於兩個位址都使用 4 位元組欄位，只要 multiaddr 是有效的 4 位元組值，任何長度的 source 都可能通過檢查。之後，函式會使用固定大小的複製操作，將 source 複製到 4 位元組的 imr_sourceaddr 欄位中。不會拒絕長度小於 4 位元組的 source，複製操作可能讀取超出其緩衝區末端最多 3 個位元組。呼叫 pack_ip_mreq_source() 並傳入少於 4 位元組的 source 值時，鄰近的堆積記憶體內容可能會被複製到回傳的封裝結構中。

    CVE-2026-13221

        規則運算式比對結果靜默錯誤

        Perl 5.40.5-RC1 之前的版本、5.41.0 至 5.42.3-RC1 之前的版本，以及 5.43.0 至 5.43.10 之前的版本，在 Perl_study_chunk 將包含超過 65535 個固定字串分支的替代式編譯為 trie 時，可能產生靜默錯誤的規則運算式比對結果。當這些分支合併至 trie 時，第一個分支與共用尾部之間的差值會儲存在 16 位元欄位中。當分支數量超過 65535 時，該欄位會溢位，導致 trie 的比對決策表被截斷，而且不會產生警告或錯誤。這種形式的模式會產生誤報匹配結果 (匹配本不應匹配的字串) 和漏報匹配結果 (無法匹配本應匹配的字串)。當這種模式控制存取或篩選決策時，結果會是錯誤的。

    CVE-2026-19487

        錯誤的規則運算式匹配結果

        Perl 5.9.4 及之後、5.41.9 之前的版本，當過時的失敗旗標在 S_find_byclass 中使 Aho-Corasick 預掃描提前結束時，會產生錯誤的規則運算式匹配結果。預掃描會遍歷主體，尋找完整模式可能匹配的位置，而引擎會從記錄下來的最左側位置開始嘗試。失敗的轉移會設定 failed 旗標，而之後成功的轉移不會清除它，因此預掃描會將過時的旗標讀作失敗，並在能夠記錄一個更早開始的候選項之前停止。它需要一個主體，其中已記錄一個候選項，之後的字元又會透過一個成功的失敗連結強制回退。範例：ABCDE =~ m/ABCF|BCDE|C/; # 在偏移量 2 處匹配 C，而不是 BCDE ABCDE =~ m/ABCF|BCDE|C(G)/; # 無匹配，漏掉 BCDE 這樣的替代式可能漏掉本應匹配的輸入，或在錯誤的分支上匹配，因此根據結果作出的存取或篩選決策可能會錯誤。

    CVE-2026-42496

        Archive::Tar 符號連結擷取

        Perl 的 Archive::Tar 3.08 之前的版本會將符號連結擷取到提取目錄之外由攻擊者控制的目標。
        _make_special_file() 會將 tar 標頭的連結名稱傳遞給 symlink()，而不會驗證其中是否包含絕對路徑或 .. 片段。保護一般檔案擷取的安全提取模式檢查不涵蓋符號連結目標。之後透過擷取出的名稱進行開啟操作時，會讀取或寫入攻擊者選擇的路徑。

    CVE-2026-42497

        Archive::Tar 硬連結擷取

        Perl 的 Archive::Tar 3.08 之前的版本會將硬連結擷取至提取目錄之外由攻擊者控制的路徑。
        _make_special_file() 會將 tar 標頭的連結名稱傳遞給 link()，而不會驗證其中是否包含絕對路徑或 .. 片段，從而建立與受害者檔案共用 inode 的硬連結。之後透過擷取出的名稱進行寫入操作時，會修改受害者檔案，而 _extract_file() 中提取後的 chmod、chown 和 utime 區塊 (僅透過 -l 防範符號連結) 會在提取過程中，將 tar 標頭中的模式、所有者和時間戳記套用至共用的 inode。

    CVE-2026-48959

        IO::Uncompress::Unzip 中的 CPU 耗盡

        Perl 的 IO::Uncompress::Unzip 2.220 之前的版本會透過 fastForward 中的逐位元組讀取迴圈造成 CPU 耗盡。fastForward() 會將 $offset 的長度 (偏移量的位數，1 至 19) 與區塊大小 $c 進行比較，而不是與 $offset 本身比較，因此 $c 會在每次迭代中從 16 KiB 縮小至 1–19 位元組。透過 IO::Uncompress::Unzip->new($zip, Name => $target) 從攻擊者提供的 zip 中擷取指定型項目時，會驅動逐位元組讀取迴圈，其運算量會隨項目的壓縮大小增加，最高可達非 Zip64 的 4 GiB 上限。

    CVE-2026-48962

        透過輸出 glob 在 IO-Compress 中執行程式碼

        Perl 的 IO::Compress 2.220 之前版本可透過由攻擊者控制的輸出 glob，在 File::GlobMapper 中執行任意程式碼。
        _parseOutputGlob() 會將呼叫者提供的輸出 glob 字串包在雙引號中，並將其儲存在剖析器狀態中；接著，_getFiles() 會透過 eval STRING 執行儲存的運算式。輸出 glob 中的雙引號字面值可以結束外層的雙引號包裝函式，而其後的字元則會被當作 Perl 程式碼進行評估。輸出 glob 中的任意 Perl 程式碼都會以呼叫程序所具備的特權執行。

    CVE-2026-57432

        pack() 和 unpack() 中的超出邊界堆積讀取

        Perl 5.40.5-RC1 之前、5.41.0 至 5.42.3-RC1 之前，以及 5.43.0 至 5.43.11 之前的版本，在 S_measure_struct 中存在整數溢位問題，導致 pack 和 unpack 發生超出邊界堆積讀取。
        S_measure_struct 會將每個項目的大小乘以其重複次數，並在未進行溢位檢查的情況下累加至總計值。當 pack 或 unpack 模板包含很大的重複次數時，有號 SSize_t 類型的總計值會溢位並變為負數。接著，@、X 和 x 位置代碼會使用有號長度比較來檢查位移操作；當長度為負數時，該檢查反而會通過，使緩衝區指標超出邊界移動。如果模板源自不受信任的輸入，攻擊者便可讀取緩衝區之外的堆記憶體，並將讀取到的內容返回給呼叫者。

    CVE-2026-57433

        Storable 中帶正負號的整數溢位弱點

        Perl 的 Storable 3.41 之前版本，在還原序列化經過特製的 SX_HOOK 記錄時，會發生帶正負號的整數溢位。retrieve_hook_common 會從 SX_HOOK 記錄中讀取有號 32 位元項目計數，並以該計數加一後的結果呼叫 av_extend。當計數為 I32_MAX 時，加一操作會溢位並變成負值。將特製的資料 blob 傳入 thaw 或 retrieve 會觸發此溢位；此時 av_extend 會收到負的計數值，並因錯誤而終止還原序列化程序。

    針對 Debian 12 bookworm，已在 5.36.0-7+deb12u4 版本中修正這些問題。

    建議您升級 perl 套件。

    如需有關 perl 安全性狀態的詳細資訊，請參閱其安全追蹤頁面：
    https://security-tracker.debian.org/tracker/perl

    有關 Debian LTS 安全公告、如何將這些更新套用至您的系統以及常見問題的詳細資訊，請參閱：https://wiki.debian.org/LTS

Tenable 已直接從 Debian 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Debian 12 主機已安裝的套件會受到 dla-4820 公告中提及的多個弱點影響。

    - ----------------------------------------------------------------------- Debian LTS 公告 DLA-4820-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Utkarsh Gupta 2026 年 10 月 5 日 https://wiki.debian.org/LTS
    - -----------------------------------------------------------------------

    套件 ： node-lodash 版本 ： 4.17.21+dfsg+~cs8.31.198.20210220-9+deb12u1 CVE ID ： CVE-2025-13465 CVE-2026-2950 CVE-2026-4800 Debian 錯誤 ： 1126265

    在 node-lodash 中發現了多個漏洞，node-lodash 是一個為常見程式設計任務提供實用函數的Node.js模組。

    CVE-2025-13465

        _.unset 和 _.omit 函式中的原型污染。特製的屬性路徑可用來從內建原型 （例如 Object.prototype） 中刪除屬性，進而導致可用性和完整性問題。

    CVE-2026-2950

        CVE-2025-13465 的修正不完整。初始防護僅處理字串金鑰成員和文字 constructor.prototype 序列，因此可以使用陣列包裝的路徑區段（例如 [['constructor']、['keys']]）、透過建構函式靜態方法或從原始根繞過它，再次允許刪除共用內建原型上的屬性。

    CVE-2026-4800

        _.template 函式中的程式碼插入。不 CVE-2021-23337完整的修正：變數選項已驗證，但匯入選項索引鍵名稱未驗證。作為匯入金鑰名稱傳遞的不受信任輸入可能會插入預設參數運算式，這些運算式會在範本編譯時透過相同的 Function（） 建構函式接收執行任意程式碼。

    對於 Debian 12 書蟲，這些問題已在 +dfsg+~cs8.31.198.20210220-9+deb12u1 版本 4.17.21中修復。

    我們建議您升級 node-lodash 套件。

    有關 node-lodash 的詳細安全狀態，請參閱其安全追蹤器頁面：
    https://security-tracker.debian.org/tracker/node-lodash

    有關 Debian LTS 安全公告、如何將這些更新套用至您的系統以及常見問題的詳細資訊，請參閱 : https://wiki.debian.org/LTS

Tenable 已直接從 Debian 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Debian 12 主機已安裝的套件受到 dla-4819 公告中提及的多個弱點影響。

    ------------------------------------------------------------------------- Debian LTS 公告 DLA-4819-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Guilhem Moulin 2026 年 10 月 5 日 https://wiki.debian.org/LTS-------------------------------------------------------------------------

    套件：php8.2 版本：8.2.34-1~deb12u1 CVE 識別碼： CVE-2025-1218 CVE-2025-14181 CVE-2026-6103 CVE-2026-91765 CVE-2026-91766 CVE-2026-91767 CVE-2026-91768 CVE-2026-91769 CVE-2026-92842 CVE-2026-93682

    在廣泛使用的開源通用腳本語言 PHP 中發現多個安全問題，可能導致拒絕服務、資訊洩露、權限提升、TLS 憑證驗證錯誤或繞過存取控制限制。

    CVE-2025-1218

        在 mysqlnd 有線通訊協定中發現各種封包過度讀取，這可能會導致連線到不受信任或遭入侵的 MySQL 伺服器時遭到拒絕服務。只會連線至受信任資料庫伺服器的應用程式不會公開。

    CVE-2025-14181

        SOAP HTTP 用戶端透過依賴帶正負號整數溢位的檢查來保護其回應緩衝區成長，這可能會導致拒絕服務或記憶體損毀，具體取決於堆積配置和用於建置 PHP 的編譯器。

    CVE-2026-6103

        在 phar_tar_number（） 中發現整數溢位弱點，允許 TAR 封存項目插入。

    CVE-2026-91765

        SOAP XML 剖析器中的 cleanup_xml_node（） 函式在每個 XML 巢狀層級遞迴一次，沒有深度限制，這可能會允許透過特製的 SOAP 要求進行拒絕服務。

    CVE-2026-91766

        http:// 資料流包裝函式被發現在重新導向至另一台主機/連接埠或方案降級時洩露憑證，這可能導致資訊洩漏或權限提升。

    CVE-2026-91767

         Mohamed Sayed 發現，透過 TLS 連線至提供特製萬用字元 CN 的伺服器的用戶端，可能會在主機名稱驗證期間造成無限長度的越界讀取，進而導致拒絕服務。

    CVE-2026-91768

        發現 FastCGI 用戶端存取檢查的 IPv6 分支僅比較 16 位元組 IPv6 位址的前 12 個位元組，因此「listen.allowed_clients」使用/96 字首而不是確切位址，這可能會導致攻擊者繞過存取控制，攻擊者可以獲取與允許的位址共用其前 96 位的位址。

    CVE-2026-91769

        發現 TLS 對等驗證違反 RFC 6125，並在 subjectAltName 不相符後回復為通用名稱驗證。

    CVE-2026-92842

        當 'line-break-chars' 選項包含 NUL 時，convert.* 資料流篩選中的越界讀取。

    CVE-2026-93682

        Ilia Alshanetsky 在遵循具有空白 Location 標頭的重新導向時，發現 HTTP 資料流包裝函式中存在越界讀取。

    GHSA-ch8v-r6jh-4vvr

        Khashayar Fereidani 發現 php_filter_encode_url（） 未初始化其 256 個項目查詢表的最後一個項目。


    對於 Debian 12 書蟲來說，這些問題已經在 8.2.34-1~deb12u1 版本中得到修復。

    我們建議您升級 php8.2 套件。

    如需有關 php8.2 安全性狀態的詳細資訊，請參閱其安全追蹤頁面：
    https://security-tracker.debian.org/tracker/php8.2

    有關 Debian LTS 安全公告、如何將這些更新套用至您的系統以及常見問題的詳細資訊，請參閱：https://wiki.debian.org/LTSAttachment:signature.ascDescription: PGP 簽章

Tenable 已直接從 Debian 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Debian 12 主機已安裝的套件會受到 dla-4818 公告中提及的多個弱點影響。

    - ------------------------------------------------------------------------- Debian LTS 公告 DLA-4818-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Hans van Kranenburg 2026 年 10 月 4 日 https://wiki.debian.org/LTS
    - -------------------------------------------------------------------------

    套件：xen 版本：4.17.7-0+deb12u1 CVE ID： CVE-2025-10263 CVE-2025-54505 CVE-2025-54518 CVE-2025-58150 CVE-2026-23553 CVE-2026-23554 CVE-2026-23556 CVE-2026-23557 CVE-2026-23558 CVE-2026-42487 CVE-2026-42488 CVE-2026-42489 CVE-2026-42490 CVE-2026-42493 CVE-2026-42494 CVE-2026-42495 CVE-2026-62423 CVE-2026-62424 CVE-2026-62425 CVE-2026-62426 CVE-2026-62427 CVE-2026-62428 CVE-2026-62429 CVE-2026-62430 CVE-2026-62431 CVE-2026-62432 CVE-2026-62433 CVE-2026-62434 CVE-2026-62435 CVE-2026-62436

    在 Xen hypervisor 中發現多個漏洞，可導致權限提升、資訊洩露或拒絕服務。

    對於 Debian 12 書蟲，這些問題已在 4.17.7-0+deb12u1 版本中修復。

    建議您升級 xen 套件。

    如需有關 xen 安全性狀態的詳細資訊，請參閱其安全追蹤頁面：
    https://security-tracker.debian.org/tracker/xen

    有關 Debian LTS 安全公告、如何將這些更新套用至您的系統以及常見問題的詳細資訊，請參閱 : https://wiki.debian.org/LTS

Tenable 已直接從 Debian 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Debian 13 主機安裝了一個套件，該套件受到 dsa-6542 公告中提及的弱點影響。

    - ------------------------------------------------------------------------- Debian安全公告 DSA-6542-1 security@debian.org https://www.debian.org/security/Moritz Muehlenhoff 2026 年 10 月 4 日 https://www.debian.org/security/faq
    - -------------------------------------------------------------------------

    套件：ruby-rack-session CVE ID： CVE-2026-39324

    據發現，ruby-rack-session 中的錯誤處理可能會導致某些設定中繞過身份驗證或權限提升。

    對於穩定版 （trixie），此問題已在 2.1.1-0.1+deb13u1 版中修正。

    我們建議您升級 ruby-rack-session 套件。

    有關 ruby-rack-session 的詳細安全狀態，請參閱其安全追蹤器頁面：
    https://security-tracker.debian.org/tracker/ruby-rack-session

    有關 Debian 安全公告、如何將這些更新套用至您的系統以及常見問題的詳細資訊，請參閱 : https://www.debian.org/security/

    郵寄清單：debian-security-announce@lists.debian.org

Tenable 已直接從 Debian 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Debian 13 主機上安裝的多個套件受到 dsa-6541 公告中提及的多個弱點影響。

    - ------------------------------------------------------------------------- Debian 安全公告 DSA-6541-1 security@debian.org https://www.debian.org/security/Moritz Muehlenhoff 2026 年 10 月 4 日https://www.debian.org/security/faq
    - -------------------------------------------------------------------------

    套件：wireshark CVE ID：CVE-2026-95387 CVE-2026-95388 CVE-2026-95389 CVE-2026-95392 CVE-2026-95393 CVE-2026-95394 CVE-2026-95395 CVE-2026-96415 CVE-2026-96416 CVE-2026-96417 CVE-2026-96418 CVE-2026-96419 CVE-2026-96420 CVE-2026-96421 CVE-2026-96422 CVE-2026-96423

    在網路通訊協定分析器 Wireshark 中發現多個弱點，這些弱點可導致拒絕服務或任意程式碼執行攻擊。

    針對穩定的發行版本 (trixie)，已在 4.4.19-0+deb13u1 版中修復這些問題。

    建議您升級 wireshark 套件。

    如需有關 wireshark 安全性狀態的詳細資訊，請參閱其安全追蹤頁面：
    https://security-tracker.debian.org/tracker/wireshark

    有關 Debian 安全公告、如何將這些更新套用至您的系統以及常見問題的詳細資訊，請參閱 : https://www.debian.org/security/

    郵寄清單：debian-security-announce@lists.debian.org

Tenable 已直接從 Debian 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Debian 12 主機已安裝的套件會受到 dla-4816 公告中提及的弱點影響。

    - ------------------------------------------------------------------------- Debian LTS 公告 DLA-4816-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Salvatore Bonaccorso 2026 年 10 月 3 日 https://wiki.debian.org/LTS
    - -------------------------------------------------------------------------

    套件：pcre2 版本：10.42-1+deb12u2 CVE ID： CVE-2026-103111 Debian 錯誤：1149217

    Michael Allen 在 PCRE2 中發現一個越界寫入弱點，PCRE2 是一個支援 Perl 相容規則運算式的函式庫，這可能導致拒絕服務或可能執行任意程式碼。

    對於 Debian 12 書蟲，此問題已在 10.42-1+deb12u2 版本中修復。

    建議您升級 pcre2 套件。

    有關 pcre2 的詳細安全狀態，請參閱其安全追蹤器頁面：
    https://security-tracker.debian.org/tracker/pcre2

    有關 Debian LTS 安全公告、如何將這些更新套用至您的系統以及常見問題的詳細資訊，請參閱 : https://wiki.debian.org/LTS

Tenable 已直接從 Debian 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Debian 12 主機安裝的套件會受到 dla-4815 公告中提及的多個弱點影響。

    ------------------------------------------------------------------------- Debian LTS 公告 DLA-4815-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Tobias Frost 2026 年 10 月 3 日 https://wiki.debian.org/LTS-------------------------------------------------------------------------

    套件 ： freecad 版本 ： 0.20.2+dfsg1-4+deb12u1 CVE ID ： CVE-2026-34789 CVE-2026-73234 CVE-2026-73235 Debian 錯誤 ： 1144349

    在開源多平台 3D 參數化建模器 FreeCAD 中發現三個漏洞，可能導致任意程式碼執行、任意檔案寫入以及本機檔案洩露或觸發遠端網路請求。

    CVE-2026-34789

        當還原特製的 FCStd 文件時，FreeCAD 會將攻擊者控制的模組名稱傳遞給 Python 解譯器，從而執行匯入模組中包含的程式碼。攻擊者可以 FreeCAD 使用者的權限執行任意 Python 程式碼。

    CVE-2026-73234

        在還原特製的 FCStd 文件時，FreeCAD 使用攻擊者控制的檔案路徑，而沒有適當限制目錄遍歷或絕對路徑。攻擊者可以將任意內容寫入 FreeCAD 使用者可存取的檔案，從而可能允許持久性或程式碼執行。

    CVE-2026-73235

        還原特製的 FCStd 文件時，FreeCAD 處理 XML 外部實體，而不會停用外部實體或 DTD 解析。攻擊者可能會讀取本機檔案，或導致向遠端伺服器發出要求。

    對於 Debian 12 書蟲，這些問題已在 +dfsg1-4+deb12u1 版本 0.20.2中修復。

    我們建議您升級 freecad 套件。

    有關 freecad 的詳細安全狀態，請參閱其安全追蹤器頁面：
    https://security-tracker.debian.org/tracker/freecad

    有關 Debian LTS 安全公告、如何將這些更新套用至您的系統以及常見問題的詳細資訊，請參閱：https://wiki.debian.org/LTSAttachment:signature.ascDescription: PGP 簽章

Tenable 已直接從 Debian 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Debian 13 主機已安裝的套件會受到 dsa-6539 公告中提及的多個弱點影響。

    - ------------------------------------------------------------------------- Debian安全公告 DSA-6539-1 security@debian.org https://www.debian.org/security/Moritz Muehlenhoff 2026 年 10 月 2 日 https://www.debian.org/security/faq
    - -------------------------------------------------------------------------

    套件：php-mongodb CVE ID： CVE-2026-6811 CVE-2026-84968 CVE-2026-96745

    在 PHP 的 MongoDB 驅動程式中發現多個安全漏洞，可能導致資訊洩露、PHP 異議插入或拒絕服務。

    對於穩定版 （trixie），這些問題已在 2.0.0-1+deb13u1 版中修正。

    我們建議您升級 php-mongodb 套件。

    有關 php-mongodb 的詳細安全狀態，請參閱其安全性追蹤器頁面：
    https://security-tracker.debian.org/tracker/php-mongodb

    有關 Debian 安全公告、如何將這些更新套用至您的系統以及常見問題的詳細資訊，請參閱 : https://www.debian.org/security/

    郵寄清單：debian-security-announce@lists.debian.org

Tenable 已直接從 Debian 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Debian 13 主機安裝了一個套件，該套件受到 dsa-6540 公告中提及的弱點影響。

    - ------------------------------------------------------------------------- Debian安全公告 DSA-6540-1 security@debian.org https://www.debian.org/security/Moritz Muehlenhoff 2026 年 10 月 2 日 https://www.debian.org/security/faq
    - -------------------------------------------------------------------------

    套件：radsecproxy CVE ID： CVE-2026-104201

    據發現，在 radsecproxy（Radius 協定代理）中對 MS-PPPE 封包進行不完整的驗證可能會導致拒絕服務或可能執行任意程式碼。

    對於穩定發行版 （trixie），此問題已在 1.11.2-1+deb13u1 版中修正。

    建議您升級 radsecproxy 套件。

    有關 radsecproxy 的詳細安全狀態，請參閱其安全追蹤器頁面：
    https://security-tracker.debian.org/tracker/radsecproxy

    有關 Debian 安全公告、如何將這些更新套用至您的系統以及常見問題的詳細資訊，請參閱 : https://www.debian.org/security/

    郵寄清單：debian-security-announce@lists.debian.org

Tenable 已直接從 Debian 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Debian 13 主機安裝的套件會受到 dsa-6538 公告中提及的多個弱點影響。

    - ------------------------------------------------------------------------- Debian安全公告 DSA-6538-1 security@debian.org https://www.debian.org/security/Aron Xu 2026 年 10 月 2 日 https://www.debian.org/security/faq
    - -------------------------------------------------------------------------

    套件：redis CVE ID： CVE-2026-23479 CVE-2026-23631 CVE-2026-25243 CVE-2026-81934 Debian錯誤：1147421 1147422 1147423

    在持久性鍵值資料庫 Redis 中發現多個漏洞，可能導致拒絕服務或執行任意程式碼。

    此更新也包含數個未獲指派 CVE 識別碼之相關問題的修正：可繞過 SORT、GEORADIUS、GEORADIUSBYMEMBER、XREAD 和 XREADGROUP 的 ACL 金鑰權限檢查;在 ACL 金鑰擷取期間，以錯誤的 arity 叫用的 KEYNUM 命令發生越界讀取;載入 RDB 檔案時缺少插槽資訊的驗證;封鎖用戶端清單中的釋放後使用;HGETEX 中的越界讀取;以及 HyperLogLog 雜湊函式中的整數溢位。

    此外，解決了 的CVE-2026-25243不完整修正問題。 CVE-2026-66373
    由於該臨時修正從未在 Debian 穩定版中單獨發布，因此沒有在上面的 CVE ID 清單中引用它。此更新包含涵蓋這兩個問題的全面修正。

    對於穩定版 （trixie），這些問題已在 .0.2-3+deb13u3 版 5:8中修正。

    建議您升級 redis 套件。

    如需有關 redis 安全性狀態的詳細資訊，請參閱其安全追蹤頁面：
    https://security-tracker.debian.org/tracker/redis

    有關 Debian 安全公告、如何將這些更新套用至您的系統以及常見問題的詳細資訊，請參閱 : https://www.debian.org/security/

    郵寄清單：debian-security-announce@lists.debian.org

Tenable 已直接從 Debian 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Debian 12 主機已安裝的套件會受到 dla-4813 公告中提及的多個弱點影響。

    ------------------------------------------------------------------------- Debian LTS 公告 DLA-4813-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Daniel Leidert 2026 年 10 月 2 日 https://wiki.debian.org/LTS-------------------------------------------------------------------------

    套件 ： open-iscsi 版本 ： 2.1.8-1+deb12u1 CVE ID ： CVE-2026-18724 CVE-2026-18725 CVE-2026-18726 CVE-2026-18727 CVE-2026-18728 CVE-2026-44943 CVE-2026-44944 Debian 錯誤 ： 1143059 1144935

    在 open-iscsi 中發現多個弱點，這是 iSCSI 的高 RFC3720 效能、與傳輸無關的多平台實作。

    CVE-2026-18724

       idbm_recinfo_config中存在堆疊緩衝區溢位。

    CVE-2026-18725

       IPv6 ICMPv6 回應處理中存在越界存取。

    CVE-2026-18726

       ICMPv6 路由器通告選項剖析中存在多個弱點。

    CVE-2026-18727

       iscsiuio DHCPv6 剖析中存在整數反向溢位。

    CVE-2026-18728

       iscsiuio IPv4 DHCP 剖析中存在整數反向溢位。

    CVE-2026-44943

       改善 iscsid 對 IQN 名稱的探索處理。

    CVE-2026-44944

       無權限的本機使用者可以使用 isscsiuio 控制通訊端。

    對於 Debian 12 書蟲，這些問題已在 2.1.8-1+deb12u1 版本中修復。

    建議您升級 open-iscsi 套件。

    有關 open-iscsi 的詳細安全狀態，請參閱其安全追蹤器頁面：
    https://security-tracker.debian.org/tracker/open-iscsi

    有關 Debian LTS 安全公告、如何將這些更新套用至您的系統以及常見問題的詳細資訊，請參閱：https://wiki.debian.org/LTSAttachment:signature.ascDescription: 這是數位簽署的訊息部分

Tenable 已直接從 Debian 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Debian 12 主機安裝的套件會受到 dla-4814 公告中提及的多個弱點影響。

    - ------------------------------------------------------------------------- Debian LTS 公告 DLA-4814-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Emilio Pozuelo Monfort 2026 年 10 月 2 日 https://wiki.debian.org/LTS
    - -------------------------------------------------------------------------

    套件：firefox-esr 版本：153.4.0esr-1~deb12u1 CVE 識別碼： CVE-2026-96869 CVE-2026-100756 CVE-2026-100757 CVE-2026-100758 CVE-2026-100759 CVE-2026-100760 CVE-2026-100762 CVE-2026-100765 CVE-2026-100766 CVE-2026-100767 CVE-2026-100769 CVE-2026-100770 CVE-2026-100771 CVE-2026-100772 CVE-2026-100773 CVE-2026-100774 CVE-2026-100775 CVE-2026-100776 CVE-2026-100777 CVE-2026-100778 CVE-2026-100779 CVE-2026-100780 CVE-2026-100781 CVE-2026-100782 CVE-2026-100783 CVE-2026-100784 CVE-2026-100785 CVE-2026-100786 CVE-2026-100787 CVE-2026-100788 CVE-2026-100789 CVE-2026-100790 CVE-2026-100791 CVE-2026-100792 CVE-2026-100794 CVE-2026-100797 CVE-2026-100798 CVE-2026-100800 CVE-2026-100801 CVE-2026-100803 CVE-2026-100806 CVE-2026-100807 CVE-2026-100808 CVE-2026-100809 CVE-2026-100811 CVE-2026-100812 CVE-2026-100814 CVE-2026-100815 CVE-2026-100816 CVE-2026-100818 CVE-2026-100819 CVE-2026-100820 CVE-2026-100821 CVE-2026-100822 CVE-2026-100824 CVE-2026-100825 CVE-2026-100826 CVE-2026-100828 CVE-2026-100829 CVE-2026-100830 CVE-2026-100831 CVE-2026-100832

    在 Mozilla Firefox 網頁瀏覽器中發現多個安全問題，可能導致執行任意程式碼、沙箱逸出、資訊洩露或權限提升。

    Debian 遵循 Firefox 的延伸支援版本 (ESR)。自此更新開始，我們將遵循 153.x 版本。

    在 140.x 和 153.x 之間，Firefox 有一些功能更新。如需詳細資訊，請參閱 https://www.firefox.com/en-US/firefox/153.0esr/releasenotes/

    對於 Debian 12 書蟲，這些問題已在 153.4.0esr-1~deb12u1 版本中修復。

    建議您升級 firefox-esr 套件。

    如需有關 firefox-esr 安全性狀態的詳細資訊，請參閱其安全追蹤頁面：
    https://security-tracker.debian.org/tracker/firefox-esr

    有關 Debian LTS 安全公告、如何將這些更新套用至您的系統以及常見問題的詳細資訊，請參閱：https://wiki.debian.org/LTS

Tenable 已直接從 Debian 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Debian 12 主機已安裝一個套件，該套件受到 dla-4812 公告中提及的多個弱點影響。

    - ------------------------------------------------------------------------- Debian LTS 公告 DLA-4812-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Arnaud Rebillout 2026 年 10 月 2 日 https://wiki.debian.org/LTS
    - -------------------------------------------------------------------------

    套件 ： libio-compress-perl 版本 ： 2.204-1+deb12u1 CVE ID ： CVE-2025-15649 CVE-2026-48959 CVE-2026-48962 Debian 錯誤 ： 1138051 1138055 1146065

    在 libio-compress-perl 中發現多個漏洞，這是一個允許讀取和寫入壓縮數據的 Perl 庫。

    CVE-2025-15649

        剖析具有格式錯誤的 DOS 日期的 zip 標頭時，未捕獲的異常。

    CVE-2026-48959

        透過 fastForward 中每位元組讀取迴圈造成的 CPU 耗盡。

    CVE-2026-48962

        File：：GlobMapper 中透過攻擊者控制的輸出 glob 中的任意程式碼。

    對於 Debian 12 書蟲，這些問題已在 2.204-1+deb12u1 版本中修復。

    我們建議您升級 libio-compress-perl 套件。

    有關 libio-compress-perl 的詳細安全狀態，請參閱其安全追蹤器頁面：
    https://security-tracker.debian.org/tracker/libio-compress-perl

    有關 Debian LTS 安全公告、如何將這些更新套用至您的系統以及常見問題的詳細資訊，請參閱 : https://wiki.debian.org/LTS

Tenable 已直接從 Debian 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

ID	名稱	嚴重性
366504	Debian dsa-6567：cifs-utils - 安全性更新	high
366409	Debian dsa-6566：expat - 安全性更新	high
366408	Debian dsa-6565：spip - 安全性更新	high
366332	Debian dsa-6563：mutt - 安全性更新	low
366331	Debian dsa-6564 ： jpeg-xl-doc - 安全性更新	high
366230	Debian dsa-6562：chromium - 安全性更新	high
366229	Debian dla-4837：gstreamer1.0-gtk3 - 安全性更新	high
366095	Debian dla-4836：firefox-esr - 安全性更新	critical
366018	Debian dla-4835：libmariadb-dev - 安全性更新	medium
365637	Debian dsa-6561：sogo - 安全性更新	high
365636	Debian dsa-6559：buildstream - 安全性更新	critical
365635	Debian dsa-6560：firefox-esr - 安全性更新	critical
365528	Debian dsa-6558：curl - 安全性更新	critical
365335	Debian dla-4833：chromium - 安全性更新	critical
365334	Debian dla-4832：nagios4 - 安全性更新	high
365113	Debian dsa-6557 ： libntfs-3g89t64 - 安全性更新	high
365112	Debian dsa-6555 ： gir1.2-rsvg-2.0 - 安全性更新	high
365111	Debian dsa-6554：keystone - 安全性更新	high
365110	Debian dsa-6556：nagios4 - 安全性更新	high
364557	Debian dsa-6551：Tor - 安全性更新	high
364362	Debian dla-4830 ： fonts-glyphicons-halflings - 安全性更新	medium
364213	Debian dla-4829：rails - 安全性更新	critical
364182	Debian dla-4827 ： idle-python3.11 - 安全性更新	critical
363958	Debian dsa-6549：liblzma-dev - 安全性更新	high
363861	Debian dla-4826：puma - 安全性更新	high
363443	Debian dsa-6548：node-shell-quote - 安全性更新	critical
363442	Debian dsa-6547 ： ruby-jwt - 安全性更新	critical
363441	Debian dsa-6546：rails - 安全性更新	critical
363374	Debian dla-4825 ： suricata-update - 安全性更新	high
363116	Debian dsa-6545：roundcube - 安全性更新	high
363026	Debian dla-4824 ： libpng-dev - 安全性更新	critical
363013	Debian dla-4822 ： ruby-oauth2 - 安全性更新	high
363012	Debian dsa-6544：sabnzbdplus - 安全性更新	high
363011	Debian dla-4823：roundcube - 安全性更新	critical
363010	Debian dsa-6543 ： fonts-opensymbol - 安全性更新	high
362949	Debian dsa-4821：libperl-dev - 安全性更新	critical
362922	Debian dla-4820 ： libjs-lodash - 安全性更新	high
362914	Debian dla-4819 ： libapache2-mod-php8.2 - 安全性更新	medium
362913	Debian dla-4818：libxen-dev - 安全性更新	critical
362912	Debian dsa-6542：ruby-rack-session - 安全性更新	critical
362908	Debian dsa-6541：libwireshark-data - 安全性更新	high
362907	Debian dla-4817 ： ata-modules-6.12.107+deb12-armmp-di - 安全性更新	high
362868	Debian dla-4816 ： libpcre2-16-0 - 安全性更新	high
362867	Debian dla-4815：freecad - 安全性更新	high
362687	Debian dsa-6539 ： php-mongodb - 安全性更新	medium
362686	Debian dsa-6540：radsecproxy - 安全性更新	critical
362658	Debian dsa-6538：redis - 安全性更新	high
362657	Debian dla-4813：iscsiuio - 安全性更新	high
362656	Debian dla-4814：firefox-esr - 安全性更新	critical
362496	Debian dla-4812 ： libio-compress-perl - 安全性更新	high

偵測

Nessus 的 Debian Local Security Checks 系列

high

high

high

low

high

high

high

critical

medium

high

critical

critical

critical

critical

high

high

high

high

high

high

medium

critical

critical

high

high

critical

critical

critical

high

high

critical

high

high

critical

high

critical

high

medium

critical

critical

high

high

high

high

medium

critical

high

high

critical

high