遠端 Ubuntu 16.04 LTS / 18.04 LTS / 20.04 LTS / 22.04 LTS / 24.04 LTS 主機上安裝的一個套件受到 USN-8181-1 公告中所提及的多個弱點影響。

    Jaroslav Lobaevski 發現 ESAPI 在路徑驗證期間未正確驗證目錄路徑。
    攻擊者可能利用此問題繞過目錄驗證檢查進而導致控制流程繞過。此問題只影響 Ubuntu 16.04 LTS、Ubuntu 18.04 LTS、Ubuntu 20.04 LTS 和 Ubuntu 22.04 LTS。(CVE-2022-23457)

    Kevin W. Wall 和 Sebastian Passaro 發現因為規則運算式不正確ESAPI 並未正確清理 javascript URL。攻擊者可能利用此問題發動跨網站指令碼攻擊。此問題只影響 Ubuntu 16.04 LTS、Ubuntu 18.04 LTS、Ubuntu 20.04 LTS 和 Ubuntu 22.04 LTS。(CVE-2022-24891)

    Longlong Gong 發現ESAPI 在 SQL 插入防禦期間未正確消除特殊元素。遠端攻擊者可能會利用此問題執行 SQL 插入。 (CVE-2025-5878)

Tenable 已直接從 Ubuntu 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端主機上安裝的 Oracle Essbase 版本缺少 2025 年 10 月重大修補程式更新 (CPU) 的安全性修補程式。因此，此應用程式會受到以下弱點影響：

  - Oracle Essbase (元件Security and Provisioning (Bouncy Castle Java Library)) 中的弱點。受影響的支援版本是 21.7.3.0.0。攻擊此弱點的難度較小，經由 HTTPS 存取網路的未經驗證的攻擊者可藉此入侵 Oracle Essbase。成功攻擊此弱點可導致未經授權即可造成 Oracle Essbase 部分拒絕服務 (部分 DOS)。 (CVE-2025-8916)

  - Oracle Essbase (元件Security and Provisioning (Nimbus JOSE+JWT)) 中的弱點。受影響的支援版本是 21.7.3.0.0。此弱點可輕易攻擊成功能夠透過 HTTP 存取網路的未經驗證攻擊者可藉以入侵 Oracle Essbase。雖然弱點位於 Oracle Essbase 中但攻擊可能對其他產品造成重大影響 (範圍變更)。成功攻擊此弱點可導致未經授權即可造成 Oracle Essbase 部分拒絕服務 (部分 DOS)。 (CVE-2025-53864)

  - Oracle Essbase (元件Essbase Web Platform) 中的弱點。受影響的支援版本是 21.7.3.0.0。可輕鬆惡意利用的弱點允許具有網路存取權的低權限攻擊者透過 HTTP 來入侵 Oracle Essbase。成功攻擊此弱點可導致未經授權地建立、刪除或修改重要資料或所有可供存取之 Oracle Essbase 資料的存取權以及未經授權地存取重要資料或完整存取所有 Oracle Essbase 資料。 (CVE-2025-61763) 請注意Nessus 並未測試這些問題而是僅依據應用程式自我報告的版本號碼。

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且供應商未提供可用的修補程式。

  - 在 ESAPI esapi-java-legacy 中發現一個弱點且分類為有問題。此問題會影響 SQL 插入防禦的 Encoder.encodeForSQL 介面。攻擊導致不當中和特殊元素。攻擊可能從遠端起始且一個惡意利用已公開洩漏。
    專案已就此問題及早聯絡過該專案並以超凡的專業水平加以處理。升級至 2.7.0.0 版可解決此問題。認可 ID f75ac2c2647a81d2cfbdc9c899f8719c240ed512 預設為停用此功能且任何嘗試使用該功能都會觸發警告。認可 ID e2322914304d9b1c52523ff24be495b7832f6a56 將更新誤導的 Java 類別文件以警告風險。 (CVE-2025-5878)

請注意，Nessus 依賴供應商報告的套件存在。

遠端主機上安裝的 Primavera Unifier 版本受到 2025 年 10 月 CPU 公告中所提及的多個弱點影響。

  - Oracle Construction and Engineering (元件Platform (Enterprise Security API for Java (Legacy))) 中 Primavera Unifier 產品中的弱點。受影響的支援版本是 20.12.0-20.12.16、21.12.0-21.12.17、22.12.0-22.12.15、23.12.0-23.12.15 和 24.12.0-24.12.9。可輕鬆惡意利用的弱點允許具有網路存取權的未經驗證的攻擊者透過 HTTPS 來入侵 Primavera Unifier。若成功攻擊此弱點，則可在未經授權的情況下地更新、插入或刪除某些 Primavera Unifier 可存取資料，在未經授權的情況下讀取 Primavera Unifier 可存取資料的子集，並能夠造成 Primavera Unifier 部分拒絕服務 (部分 DOS)。(CVE-2025-5878)

  - Oracle Construction and Engineering (元件Document Management (FreeType)) 中 Primavera Unifier 產品中的弱點。受影響的支援版本是 20.12.0-20.12.16、21.12.0-21.12.17、22.12.0-22.12.15、23.12.0-23.12.15 和 24.12.0-24.12.9。難以惡意利用的弱點允許具有網路存取權的未經驗證攻擊者透過 HTTP 來入侵 Primavera Unifier。若成功攻擊此弱點，可導致 Primavera Unifier 被接管。(CVE-2025-27363)

  - Oracle Construction and Engineering (元件Document Management (Apache Commons FileUpload)) 的 Primavera Unifier 產品中的弱點。受影響的支援版本是 20.12.0-20.12.16、21.12.0-21.12.17、22.12.0-22.12.15、23.12.0-23.12.15 和 24.12.0-24.12.9。攻擊此弱點的難度較小，經由 HTTP 存取網路的未經驗證攻擊者可藉此入侵 Primavera Unifier。若成功攻擊此弱點，可能導致攻擊者在未經授權的情況下，造成 Primavera Unifier 懸置或經常重複性當機 (完全 DOS)。(CVE-2025-48976)

  - Oracle Construction and Engineering (元件Platform (Apache Commons Lang)) 的 Primavera Unifier 產品中的弱點。受影響的支援版本是 20.12.0-20.12.16、21.12.0-21.12.17、22.12.0-22.12.15、23.12.0-23.12.15 和 24.12.0-24.12.9。攻擊此弱點的難度較小，經由 HTTP 存取網路的未經驗證攻擊者可藉此入侵 Primavera Unifier。若攻擊成功，攻擊者未經授權即可造成 Primavera Unifier 部分拒絕服務 (部分 DOS)。(CVE-2025-48924)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Debian 11 主機安裝了一個套件其受到 dla-4246 公告中所提及的多個弱點影響。

    -------------------------------------------------- ----------------------- Debian LTS 公告 DLA-4246-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Markus Koschany 2025 年 7 月 22 日 https://wiki.debian.org/LTS-------------------------------------------------------------------------

    套件 版本 2.4.0.0-0+deb11u1 CVE ID CVE-2022-23457 CVE-2022-24891 CVE-2025-5878 Debian 錯誤 1010339 1109378

    在 libowasp-esapi-java (一種 Java 企業安全性 API) 中發現數個安全性弱點。

    CVE-2022-23457：

        ESAPI (OWASP Enterprise Security API) 是免費、開放原始碼的 web 應用程式安全性控製程式庫。在此更新之前「Validator.getValidDirectoryPath(String, String, File, boolean)」的預設實作可能會不正確地將測試過的輸入字串視為指定父目錄的子目錄。如果攻擊者可指定代表「input」路徑的完整字串這可能會讓控制流程繞過檢查失敗。

    CVE-2022-24891：

        ESAPI 中可能會出現一個跨網站指令碼弱點這是因為在
        **antisamy-esapi.xml** 設定檔可造成 javascript: URL 無法正確清理。

    CVE-2025-5878：

        此問題會影響 SQL 插入防禦的 Encoder.encodeForSQL 介面。攻擊導致不當中和特殊元素。我們未發現 Debian 中有任何受影響的反向相依性但如果您在獨立專案中使用 ESAPI則應該知道 Encoder.encodeForSQL 方法已過時且最終將被移除。此外DB2Codec、MySQLCodec 和 OracleCodec 類別也已過時。建議您仔細評估您的專案是否會受到這些類別和方法影響以及是否必須實作其他步驟來保護您的應用程式。此更新不會自動保護您免受任何潛在風險的影響。

    針對 Debian 11 Bullseye這些問題已在 2.4.0.0-0+deb11u1 版本中修正。

    建議您升級 libowasp-esapi-java 套件。

    如需 libowasp-esapi-java 安全性狀態的詳細資訊請參閱其安全性追踪頁面
    https://security-tracker.debian.org/tracker/libowasp-esapi-java

    有關 Debian LTS 安全公告、如何將這些更新套用至您的系統以及常見問題的詳細資訊，請參閱：https://wiki.debian.org/LTSAttachment:signature.ascDescription: 這是數位簽署的訊息部分

Tenable 已直接從 Debian 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

ID	名稱	產品	系列	已發布	已更新	嚴重性
307008	Ubuntu 16.04 LTS / 18.04 LTS / 20.04 LTS / 22.04 LTS / 24.04 LTSESAPI 弱點 (USN-8181-1)	Nessus	Ubuntu Local Security Checks	2026/4/17	2026/4/17	medium
271378	Oracle Essbase 多個弱點 (2025 年 10 月 CPU)	Nessus	Misc.	2025/10/24	2026/2/24	high
247283	Linux Distros 未修補的弱點：CVE-2025-5878	Nessus	Misc.	2025/8/10	2026/4/29	medium
271244	Oracle Primavera Unifier (2025 年 10 月 CPU)	Nessus	CGI abuses	2025/10/23	2025/10/30	medium
242493	Debian dla-4246libowasp-esapi-java - 安全性更新	Nessus	Debian Local Security Checks	2025/7/22	2025/7/22	medium

偵測

搜尋 Plugin

medium

high

medium

medium

medium