There are packages installed that are affected by a vulnerability referenced in the following CVE:

  - FastAPI is a web framework for building APIs with Python 3.6+ based on standard Python type hints. FastAPI
    versions lower than 0.65.2 that used cookies for authentication in path operations that received JSON
    payloads sent by browsers were vulnerable to a Cross-Site Request Forgery (CSRF) attack. In versions lower
    than 0.65.2, FastAPI would try to read the request payload as JSON even if the content-type header sent
    was not set to application/json or a compatible JSON media type (e.g. application/geo+json). A request
    with a content type of text/plain containing JSON data would be accepted and the JSON data would be
    extracted. Requests with content type text/plain are exempt from CORS preflights, for being considered
    Simple requests. The browser will execute them right away including cookies, and the text content could be
    a JSON string that would be parsed and accepted by the FastAPI application. This is fixed in FastAPI
    0.65.2. The request data is now parsed as JSON only if the content-type header is application/json or
    another JSON compatible media type like application/geo+json. It's best to upgrade to the latest FastAPI,
    but if updating is not possible then a middleware or a dependency that checks the content-type header and
    aborts the request if it is not application/json or another JSON compatible content type can act as a
    mitigating workaround. (CVE-2021-32677)

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且供應商未提供可用的修補程式。

  - FastAPI 是一個 web 架構，用於以標準 Python 類型提示為基礎，使用 Python 3.6+ 構建 API。比 0.65.2 舊的 FastAPI 版本，若在接收瀏覽器傳送之 JSON 承載的路徑作業中使用 cookie 進行驗證，則容易遭受跨網站要求偽造 (CSRF) 攻擊。在 0.65.2之前的版本中，即使傳送的 content-type 標頭未設為 application/json 或相容的 JSON 媒體類型 (例如 application/geo+json)，FastAPI 仍會嘗試將要求承載讀取為 JSON。系統會接受內容類型為 text/plain 且含有 JSON 資料的要求，並擷取 JSON 資料。內容類型為 text/plain 的要求可免除 CORS 預檢，因為這會被視為簡單要求。瀏覽器會立即執行它們，包括 cookie，且文字內容可能是將由 FastAPI 應用程式剖析並接受的 JSON 字串。此問題已在 FastAPI 中修正 0.65.2。現在，只有在 content-type 標頭是 application/json 或其他 JSON 相容媒體類型 (如 application/geo+json) 時，才會將要求資料剖析為 JSON。最好升級至最新的 FastAPI，但如果無法更新，則可將檢查 content-type 標頭並在其非 application/json 或其他 JSON 相容內容類型時中止要求的中介軟體或相依性作為減輕因應措施。 (CVE-2021-32677)

請注意，Nessus 依賴供應商報告的套件存在。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - FastAPI 是使用 Python 3.6+ 基于标准 Python 类型提示构建 API 的 Web 框架。如果 FastAPI 版本低于 0.65.2 ，则在接收浏览器发送的 JSON 负载的路径操作中使用 cookie 进行认证，易受到跨站请求伪造 (CSRF) 攻击。在低于 0.65.2的版本中，即使发送的 content-type 标头未设置为 application/json 或兼容的 JSON 媒体类型（例如 application/geo+json），FastAPI 也会尝试将请求负载读取为 JSON。将接受包含 JSON 数据且内容类型为 text/plain 的请求，并将提取 JSON 数据。内容类型为 text/plain 的请求被视为简单请求，可免于 CORS 预检。浏览器将立即执行它们（包括 cookie），文本内容可能是会被 FastAPI 应用程序解析并接受的 JSON 字符串。此问题已在 FastAPI 中修复 0.65.2。现在仅当 content-type 标头为 application/json 或其他 JSON 兼容的媒体类型（如 application/geo+json）时，请求数据才会解析为 JSON。最好升级到最新的 FastAPI，但如果无法更新，则可以使用中间件或检查 content-type 标头并在请求不是 application/json 或其他 JSON 兼容内容类型的情况下中止请求的依存关系变通方案。 (CVE-2021-32677)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - FastAPI は、標準の Python 型ヒントに基づいて 3.6+ の Python で API を構築するための Web フレームワークです。ブラウザから送信された JSON ペイロードを受信するパス操作の認証にクッキーを使用する 0.65.2 より前のバージョンの FastAPI は、クロスサイトリクエストフォージェリ（CSRF）攻撃に対して脆弱でした。 0.65.2より前のバージョンでは、送信される content-type ヘッダーが application/json または互換性のある JSON メディアタイプ（application/geo+json など）に設定されていなくても、FastAPI はリクエストペイロードを JSON として読み取ろうとします。JSON データを含む、text/plain のコンテンツタイプのリクエストは受け入れられ、JSON データが抽出されます。コンテンツタイプが text/plain であるリクエストは、Simple リクエストと見なされるため、CORS preflights から除外されます。ブラウザはクッキーを含めてそれらをすぐに実行し、テキストコンテンツはFastAPIアプリケーションによって解析および受け入れられるJSON文字列である可能性があります。これは FastAPI で修正されています 0.65.2。content-type ヘッダーが application/json であるか、application/geo+json などの JSON と互換性のある別のメディアタイプである場合にのみ、リクエストデータが JSON として解析されるようになりました。最新の FastAPI にアップグレードすることが最善ですが、更新が不可能な場合は、content-type ヘッダーをチェックし、application/json または別の JSON 互換コンテンツタイプでない場合にリクエストを中止するミドルウェアまたは依存関係が、発見しました。 （CVE-2021-32677）

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

The Linux/Unix host has one or more packages installed that are impacted by a vulnerability without a vendor supplied patch available.

  - FastAPI is a web framework for building APIs with Python 3.6+ based on standard Python type hints. FastAPI     versions lower than 0.65.2 that used cookies for authentication in path operations that received JSON     payloads sent by browsers were vulnerable to a Cross-Site Request Forgery (CSRF) attack. In versions lower     than 0.65.2, FastAPI would try to read the request payload as JSON even if the content-type header sent     was not set to application/json or a compatible JSON media type (e.g. application/geo+json). A request     with a content type of text/plain containing JSON data would be accepted and the JSON data would be     extracted. Requests with content type text/plain are exempt from CORS preflights, for being considered     Simple requests. The browser will execute them right away including cookies, and the text content could be     a JSON string that would be parsed and accepted by the FastAPI application. This is fixed in FastAPI     0.65.2. The request data is now parsed as JSON only if the content-type header is application/json or     another JSON compatible media type like application/geo+json. It's best to upgrade to the latest FastAPI,     but if updating is not possible then a middleware or a dependency that checks the content-type header and     aborts the request if it is not application/json or another JSON compatible content type can act as a     mitigating workaround. (CVE-2021-32677)

Note that Nessus relies on the presence of the package as reported by the vendor.

ID	Name	Product	Family	Published	Updated	Severity
412682	SCA: security update for fastapi (GHSA-8h2j-cgx8-6xv7)	Tenable Cloud Security	SCA Checks	1/23/2025	7/2/2026	high
412682	SCA: security update for fastapi (GHSA-8h2j-cgx8-6xv7)	Tenable Self-Hosted Container Security	SCA Checks	1/23/2025	7/2/2026	high
223921	Linux Distros 未修補弱點：CVE-2021-32677	Nessus	Misc.	3/5/2025	9/2/2026	high
223921	Linux Distros 未修补的漏洞: CVE-2021-32677	Nessus	Misc.	3/5/2025	9/2/2026	high
223921	Linux Distros のパッチ未適用の脆弱性: CVE-2021-32677	Nessus	Misc.	3/5/2025	9/2/2026	high
223921	Linux Distros Unpatched Vulnerability : CVE-2021-32677	Nessus	Misc.	3/5/2025	9/2/2026	high

Detections

Analytics

Plugins Search

high

high

high

high

high

high