因此，它會受到 ALAS2023-2026-2125 公告中所提及的多個弱點影響。

    攻擊者控制的 CSV 範例可在方言嗅探期間觸發超線性規則運算式工作，並在應用程式將無限輸入傳遞至 CSV 時消耗大量 CPU。Sniffer.sniff（）。
    (CVE-2026-18503)

    在具有許多相同標籤同級的 XML 文件上使用 XPath 索引述詞 （例如 '[1]'、'[last（）]'、'[last（）-N]'） 時，'Element.findall（）' 和完全消耗的 'Element.iterfind（）' 表現出 'O（n^2）' 時間複雜度。'Element.find（）' 僅在第一個匹配項接近同級列表的末尾時受到影響，例如 '[last（）]' 或 '[last（）-N]';'.//item[1]' 在第一次匹配後短路。
    (CVE-2026-6879)

Tenable 已直接從所測試產品的安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

因此，它會受到 ALAS2023-2026-2123 公告中所提及的多個弱點影響。

    攻擊者控制的 CSV 範例可在方言嗅探期間觸發超線性規則運算式工作，並在應用程式將無限輸入傳遞至 CSV 時消耗大量 CPU。Sniffer.sniff（）。
    (CVE-2026-18503)

    在具有許多相同標籤同級的 XML 文件上使用 XPath 索引述詞 （例如 '[1]'、'[last（）]'、'[last（）-N]'） 時，'Element.findall（）' 和完全消耗的 'Element.iterfind（）' 表現出 'O（n^2）' 時間複雜度。'Element.find（）' 僅在第一個匹配項接近同級列表的末尾時受到影響，例如 '[last（）]' 或 '[last（）-N]';'.//item[1]' 在第一次匹配後短路。
    (CVE-2026-6879)

Tenable 已直接從所測試產品的安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

因此，它會受到 ALAS2023-2026-2122 公告中所提及的多個弱點影響。

    攻擊者控制的 CSV 範例可在方言嗅探期間觸發超線性規則運算式工作，並在應用程式將無限輸入傳遞至 CSV 時消耗大量 CPU。Sniffer.sniff（）。
    (CVE-2026-18503)

    在具有許多相同標籤同級的 XML 文件上使用 XPath 索引述詞 （例如 '[1]'、'[last（）]'、'[last（）-N]'） 時，'Element.findall（）' 和完全消耗的 'Element.iterfind（）' 表現出 'O（n^2）' 時間複雜度。'Element.find（）' 僅在第一個匹配項接近同級列表的末尾時受到影響，例如 '[last（）]' 或 '[last（）-N]';'.//item[1]' 在第一次匹配後短路。
    (CVE-2026-6879)

Tenable 已直接從所測試產品的安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

AlmaLinux 9.2 主機已安裝的套件會受到 TuxCare ALMALINUX9.2：CLSA-2026：1791921187 公告中提及的多個弱點影響。

  - 攻擊者控制的 CSV 範例可在方言嗅探期間觸發超線性正則運算式工作，並在應用程式將無限輸入傳遞至 CSV 時消耗大量 CPU。Sniffer.sniff（）。
    (CVE-2026-18503)

  - 在具有許多相同標籤同級的 XML 文件上使用 XPath 索引述詞 （例如「[1]」、「[last（）]」、「[last（）-N]'） 時，「Element.findall（）」和完全耗用的「Element.iterfind（）」會出現「O（n^2）」時間複雜度。'Element.find（）' 僅在第一個匹配項接近同級列表的末尾時受到影響，例如 '[last（）]' 或 '[last（）-N]';'.//item[1]' 在第一次匹配後短路。（CVE-2026-6879）

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Debian 12 主機已安裝的套件會受到 dla-4827 公告中提及的多個弱點影響。

    - ------------------------------------------------------------------------- Debian LTS 公告 DLA-4827-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Andrej Shadura 2026 年 10 月 8 日 https://wiki.debian.org/LTS
    - -------------------------------------------------------------------------

    套件 ： python3.11 版本 ： 3.11.2-6+deb12u9 CVE ID ： CVE-2025-69534 CVE-2026-1502 CVE-2026-3276 CVE-2026-6019 CVE-2026-8328 CVE-2026-9669 CVE-2026-15308 CVE-2026-15310 CVE-2026-15806 CVE-2026-17084 CVE-2026-18503 CVE-2026-19445 CVE-2026-19553 Debian 錯誤 ： 1131896

    Python 3.11中的多個漏洞。

    CVE-2025-69534

        格式錯誤的標記宣告可能會使 html.parser.HTMLParser 引發未處理的 AssertionError。剖析不受信任 HTML 的應用程式 （例如 Python-Markdown 轉譯不受信任的輸入） 可能會當機，進而導致拒絕服務。

    CVE-2026-1502

        http.client 未拒絕代理通道主機或通道要求標頭中的 CR/LF 位元組，這可能會允許 HTTP 標頭插入。

    CVE-2026-3276

        unicodedata.normalize（） 在處理特製的 Unicode 輸入時，可能會佔用過多的 CPU 時間，其中包含長時間的組合字元與交替的標準組合類別值。這會影響所有正規化形式。

    CVE-2026-6019

        http.cookies.Morsel.js_output（） 傳回一個內嵌 <script> 程式碼片段，其中 cookie 值僅針對 JavaScript 字串內容逸出，而不會中和 </script> 序列，因此攻擊者控制的 cookie 值可以將標記插入頁面。

    CVE-2026-8328

        修正時 CVE-2021-4189 未更新 ftplib.ftpcp（），但仍會將來源伺服器傳回的 PASV 位址傳遞至目標伺服器。惡意來源 FTP 伺服器可以使用此功能將目標伺服器的資料連線導向至任意主機和連接埠。

    CVE-2026-9669

        bz2。BZ2Decompressor 物件可以在解壓縮錯誤之後重複使用。如果應用程式擷取產生的 OSError 並使用相同的解壓縮器重試，則特製的輸入可能會導致堆疊緩衝區越界寫入，進程當機。

    CVE-2026-15308

        以增量方式向 html.parser.HTMLParser 提供長而未終止的結構 （例如標籤或註解） 需要二次時間，從而允許透過 CPU 耗盡而造成拒絕服務。

    CVE-2026-15310

        當使用 bzip2 或 LZMA 壓縮解壓縮特製的 zip 檔案時，zipfile 可以使用攻擊者控制的大小來預先配置內存，從而可能導致記憶體耗盡。

    CVE-2026-15806

        urllib.request.HTTPPasswordMgr 及其子類別在比對已儲存的憑證時未考慮 URL 配置。
        為 https:// URL 新增的憑證也會透過 http:// 傳送至相同的主機，因此能夠將用戶端重新導向或降級為純HTTP的攻擊者可以以純文字形式擷取它們。

    CVE-2026-17084

        stringprep 模組在檢查表格 B.2 和 B.3 時，使用當前的 Unicode 程式碼點屬性，而不是 RFC 3454 的要求 Unicode 3.2.0的屬性。在處理具有 IDNA 2003 （idna） 編解碼器的網域名稱時，這可能會導致不相符。

    CVE-2026-18503

        攻擊者控制的 CSV 範例可觸發 CSV 中的超線性規則運算式比對。Sniffer.sniff（），佔用大量 CPU 時間。

    CVE-2026-19445

        如果伺服器的sni_callback將不同的內容指派給 SSLSocket.context，而且沒有其他內容保留原始 SSL，則遠端未經驗證的 TLS 用戶端可能會使伺服器當機或透過釋放的指標呼叫。SSLContext 處於活動狀態。


    CVE-2026-19553

        ssl。啟用 check_hostname 時，SSLContext.wrap_bio（） 不需要 server_hostname 引數，因此可以無訊息地跳過主機名稱驗證;asyncio 的 create_connection（） 和 loop.start_tls（） 也受到影響。為了相容性，Python 3.11 現在在這種情況下會發出 DeprecationWarning，而不是引發 ValueError，因此應用程式仍然需要傳遞有效的server_hostname。

    對於 Debian 12 書蟲，這些問題已在 3.11.2-6+deb12u9 版本中修復。

    此外，此更新還包含下列相關的上游修正：

      * csv。Sniffer.sniff（） 在偵測雙引號時，在具有許多引號字元的樣本上可能需要指數時間 （gh-109638）。

      * 當重複的子模式包含回溯時，具有所有格量詞的規則運算式可能會給出錯誤的比對 （gh-100061、gh-106052）。

      * html.parser.HTMLParser 未根據 HTML5 標準剖析開始和結束標籤，並且在未關閉的指令碼或樣式標籤 （GH-135661、GH-86155） 後可能會遺失資料。修正後，某些格式錯誤的標記會以不同的方式剖析;例如， </ script> 不再結束指令碼元素。

    建議您升級 python3.11 套件。

    如需 python3.11 的詳細安全性狀態，請參閱其安全追蹤頁面：
    https://security-tracker.debian.org/tracker/python3.11

    有關 Debian LTS 安全公告、如何將這些更新套用至您的系統以及常見問題的詳細資訊，請參閱 : https://wiki.debian.org/LTS

Tenable 已直接從 Debian 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且廠商未提供可用的修補程式。

  - 攻擊者控制的 CSV 範例可在方言嗅探期間觸發超線性正則運算式工作，並在應用程式將無限輸入傳遞至 CSV 時消耗大量 CPU。Sniffer.sniff（）。
    (CVE-2026-18503)

請注意，Nessus 依賴供應商報告的套件存在。

因此，它會受到 ALAS2023-2026-2124 公告中所提及的多個弱點影響。

    攻擊者控制的 CSV 範例可在方言嗅探期間觸發超線性規則運算式工作，並在應用程式將無限輸入傳遞至 CSV 時消耗大量 CPU。Sniffer.sniff（）。
    (CVE-2026-18503)

    在具有許多相同標籤同級的 XML 文件上使用 XPath 索引述詞 （例如 '[1]'、'[last（）]'、'[last（）-N]'） 時，'Element.findall（）' 和完全消耗的 'Element.iterfind（）' 表現出 'O（n^2）' 時間複雜度。'Element.find（）' 僅在第一個匹配項接近同級列表的末尾時受到影響，例如 '[last（）]' 或 '[last（）-N]';'.//item[1]' 在第一次匹配後短路。
    (CVE-2026-6879)

Tenable 已直接從所測試產品的安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

ID	名稱	產品	系列	已發布	已更新	嚴重性
341864	Amazon Linux 2023：python3.11、python3.11-devel、python3.11-idle (ALAS2023-2026-2125)	Nessus	Amazon Linux Local Security Checks	2026/8/31	2026/8/31	low
342049	Amazon Linux 2023：python3.13、python3.13-devel、python3.13-freethreading （ALAS2023-2026-2123）	Nessus	Amazon Linux Local Security Checks	2026/9/1	2026/9/1	low
342050	Amazon Linux 2023：python3.14、python3.14-devel、python3.14-freethreading (ALAS2023-2026-2122)	Nessus	Amazon Linux Local Security Checks	2026/9/1	2026/9/1	low
365491	AlmaLinux 9.2 [TuxCare] 安全性更新：python3.11 / python3.11-debug / python3.11-devel / python3.11-idle / etc多個弱點（ALMALINUX9.2：CLSA-2026：1791921187）	Nessus	Alma Linux Local Security Checks	2026/10/13	2026/10/13	low
364182	Debian dla-4827 ： idle-python3.11 - 安全性更新	Nessus	Debian Local Security Checks	2026/10/8	2026/10/8	critical
335028	Linux Distros 未修補弱點：CVE-2026-18503	Nessus	Misc.	2026/8/13	2026/10/8	low
342048	Amazon Linux 2023：python3.12、python3.12-devel、python3.12-idle (ALAS2023-2026-2124)	Nessus	Amazon Linux Local Security Checks	2026/9/1	2026/9/1	low

偵測

搜尋 Plugin

low

low

low

low

critical

low

low