Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且供應商未提供可用的修補程式。

  - ESAPI (OWASP Enterprise Security API) 是免費、開放原始碼的 web 應用程式安全性控製程式庫。在 2.3.0.0版之前，「Validator.getValidDirectoryPath(String, String, File, boolean)」的預設實作可能會不正確地將測試過的輸入字串視為指定父目錄的子目錄。如果攻擊者可指定代表「input」路徑的完整字串，這可能允許繞過控制流程檢查。此弱點已在 ESAPI 版本 2.3.0.0 中修補。因應措施為自行編寫驗證器介面的實作。
    不過，維護人員不建議這麼做。 (CVE-2022-23457)

請注意，Nessus 依賴供應商報告的套件存在。

遠端 Debian 11 主機安裝了一個套件其受到 dla-4246 公告中所提及的多個弱點影響。

    -------------------------------------------------- ----------------------- Debian LTS 公告 DLA-4246-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Markus Koschany 2025 年 7 月 22 日 https://wiki.debian.org/LTS-------------------------------------------------------------------------

    套件 版本 2.4.0.0-0+deb11u1 CVE ID CVE-2022-23457 CVE-2022-24891 CVE-2025-5878 Debian 錯誤 1010339 1109378

    在 libowasp-esapi-java (一種 Java 企業安全性 API) 中發現數個安全性弱點。

    CVE-2022-23457：

        ESAPI (OWASP Enterprise Security API) 是免費、開放原始碼的 web 應用程式安全性控製程式庫。在此更新之前「Validator.getValidDirectoryPath(String, String, File, boolean)」的預設實作可能會不正確地將測試過的輸入字串視為指定父目錄的子目錄。如果攻擊者可指定代表「input」路徑的完整字串這可能會讓控制流程繞過檢查失敗。

    CVE-2022-24891：

        ESAPI 中可能會出現一個跨網站指令碼弱點這是因為在
        **antisamy-esapi.xml** 設定檔可造成 javascript: URL 無法正確清理。

    CVE-2025-5878：

        此問題會影響 SQL 插入防禦的 Encoder.encodeForSQL 介面。攻擊導致不當中和特殊元素。我們未發現 Debian 中有任何受影響的反向相依性但如果您在獨立專案中使用 ESAPI則應該知道 Encoder.encodeForSQL 方法已過時且最終將被移除。此外DB2Codec、MySQLCodec 和 OracleCodec 類別也已過時。建議您仔細評估您的專案是否會受到這些類別和方法影響以及是否必須實作其他步驟來保護您的應用程式。此更新不會自動保護您免受任何潛在風險的影響。

    針對 Debian 11 Bullseye這些問題已在 2.4.0.0-0+deb11u1 版本中修正。

    建議您升級 libowasp-esapi-java 套件。

    如需 libowasp-esapi-java 安全性狀態的詳細資訊請參閱其安全性追踪頁面
    https://security-tracker.debian.org/tracker/libowasp-esapi-java

    有關 Debian LTS 安全公告、如何將這些更新套用至您的系統以及常見問題的詳細資訊，請參閱：https://wiki.debian.org/LTSAttachment:signature.ascDescription: 這是數位簽署的訊息部分

Tenable 已直接從 Debian 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端主機上安裝的 Primavera Unifier 版本受到 2022 年 10 月 CPU 公告中提及的多個弱點影響影響。

  - Oracle Construction and Engineering 的 Primavera Unifier 產品中的弱點 (元件：Document Management (Apache Solr))。受影響的支援版本是 18.8、19.12、20.12 和 21.12。攻擊此弱點的難度較小，經由 HTTP 存取網路的低權限攻擊者可藉此入侵 Primavera Unifier。若攻擊得逞，可導致 Primavera Unifier 被接管。
    (CVE-2020-9492)

  - Oracle Construction and Engineering 的 Primavera Unifier 產品中的弱點 (元件：User Interface (Enterprise Security API))。受影響的支援版本是 18.8、19.12、20.12 和 21.12。此弱點不易被惡意利用，具有網路存取權的低權限攻擊者可藉此透過 HTTP 入侵 Primavera Unifier。若成功攻擊此弱點，可導致 Primavera Unifier 被接管。(CVE-2022-23457)

  - Oracle Construction and Engineering 的 Primavera Unifier 產品中的弱點 (元件：User Interface (Moment.js))。受影響的支援版本是 19.12、20.12 和 21.12 。攻擊此弱點的難度較小，經由 HTTP 存取網路的未經驗證攻擊者可藉此入侵 Primavera Unifier。若攻擊成功，攻擊者未經授權即可造成 Primavera Unifier 部分拒絕服務 (部分 DOS)。(CVE-2022-31129)

  - Oracle Construction and Engineering 的 Primavera Unifier 產品中的弱點 (元件：Document Management (Apache Tika))。受影響的支援版本是 18.8、19.12、20.12 和 21.12。攻擊此弱點的難度較低，未經驗證的攻擊者可以登入執行 Primavera Unifier 的基礎結構，以入侵 Primavera Unifier。若要成功攻擊，必須有攻擊者以外之他人的互動。若攻擊成功，攻擊者未經授權即可造成 Primavera Unifier 部分拒絕服務 (部分 DOS)。(CVE-2022-33879)

  - Oracle Construction and Engineering 的 Primavera Unifier 產品中的深度安全性弱點 (元件：Platform、User Interface (Apache Velocity Engine))。無法在此產品的內容中惡意利用此弱點。(CVE-2020-13936)

  - Oracle Construction and Engineering 的 Primavera Unifier 產品中的深度安全性弱點 (元件：Document Management (Apache ZooKeeper))。無法在此產品的內容中惡意利用此弱點。(CVE-2020-7712)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端主機上安裝的 Oracle WebLogic Server 版本缺少 2022 年 7 月重要修補程式更新 (CPU) 中提及的安全性修補程式。因此，該主機會受到多個弱點影響，包括：

  - Oracle Fusion Middleware 的 Oracle WebLogic Server 產品中存在弱點 (元件：Third Party Tools、Samples (Spring Framework))。受影響的支援版本是 12.2.1.3.0、12.2.1.4.0 和 14.1.1.0.0 。攻擊此弱點的難度較小，經由 HTTP 存取網路的未經驗證攻擊者可藉此入侵 Oracle WebLogic Server。若成功攻擊此弱點，則可能導致接管 Oracle WebLogic Server。(CVE-2022-22965)

  - Oracle Fusion Middleware 的 Oracle WebLogic Server 產品中存在弱點 (元件：Centralized Third Party Jars (OWASP Enterprise Security API))。受影響的支援版本是 12.2.1.3.0、12.2.1.4.0 和 14.1.1.0.0 。攻擊此弱點的難度較小，經由 HTTP 存取網路的未經驗證攻擊者可藉此入侵 Oracle WebLogic Server。若成功攻擊此弱點，則可能導致接管 Oracle WebLogic Server。(CVE-2022-23457)

  - Oracle Fusion Middleware 的 Oracle WebLogic Server 產品中存在弱點 (元件：Centralized Third Party Jars (Apache Maven))。受影響的支援版本是 12.2.1.3.0 和 12.2.1.4.0。
    攻擊此弱點的難度較小，經由 HTTP 存取網路的未經驗證攻擊者可藉此入侵 Oracle WebLogic Server。若攻擊成功，攻擊者即可在未經授權的情況下建立、刪除或修改重要資料或所有的 Oracle WebLogic Server 可存取資料，並在未經授權的情況下存取重要資料或完全存取所有 Oracle WebLogic Server 可存取資料。(CVE-2021-26291)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

ID	名稱	產品	系列	已發布	已更新	嚴重性
229682	Linux Distros 未修補弱點：CVE-2022-23457	Nessus	Misc.	2025/3/5	2025/8/9	critical
242493	Debian dla-4246libowasp-esapi-java - 安全性更新	Nessus	Debian Local Security Checks	2025/7/22	2025/7/22	medium
166305	Oracle Primavera Unifier (2022 年 10 月 CPU)	Nessus	CGI abuses	2022/10/20	2024/10/23	critical
163298	Oracle WebLogic Server (2022 年 7 月 CPU)	Nessus	Misc.	2022/7/20	2024/1/4	critical

偵測

搜尋 Plugin

critical

medium

critical

critical