The remote Fedora 41 host has a package installed that is affected by a vulnerability as referenced in the FEDORA-2024-e5558a889a advisory.

    Automatic update for python-flask-cors-4.0.1-1.fc41.

    ##### **Changelog**

    ```
    * Mon Jun  3 2024 Frantiek Zatloukal <fzatlouk@redhat.com> - 4.0.1-1
    - flask-cors-4.0.1 (RHBZ#2279177 and RHBZ#2276153)

    ```

Tenable has extracted the preceding description block directly from the Fedora security advisory.

Note that Nessus has not tested for this issue but has instead relied only on the application's self-reported version number.

The remote Ubuntu 20.04 LTS / 22.04 LTS / 24.04 LTS / 24.10 / 25.04 host has a package installed that is affected by multiple vulnerabilities as referenced in the USN-7612-1 advisory.

    It was discovered that Flask-CORS did not correctly handle certain regular expressions. A remote attacker     could possibly use this issue to leak sensitive information or bypass authentication mechanisms.
    (CVE-2024-6839) It was discovered that Flask-CORS allowed certain CORS headers to be enabled by default. A     remote attacker could possibly use this issue to leak sensitive information. This issue only affected     Ubuntu 20.04 LTS, Ubuntu 22.04 LTS, Ubuntu 24.04 LTS and Ubuntu 24.10. (CVE-2024-6221)

    It was discovered that Flask-CORS did not correctly handle case sensitivity when matching paths. A remote     attacker could possibly use this issue to leak sensitive information. (CVE-2024-6866)

    It was discovered that Flask-CORS did not correctly handle certain characters in URL paths. A remote     attacker could possibly use this issue to leak sensitive information or bypass authentication mechanisms.
    (CVE-2024-6844)

    Elias Hohl was discovered that Flask-CORS did not correctly sanitize log entries. A remote attacker could     possibly use this issue to corrupt log files. This issue only affected Ubuntu 20.04 LTS, Ubuntu 22.04 LTS     and Ubuntu 24.04 LTS. (CVE-2024-1681)

Tenable has extracted the preceding description block directly from the Ubuntu security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

リモートのUbuntu 20.04 LTS/22.04 LTS/24.04 LTS/24.10/25.04ホストには、USN-7612-1アドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    Flask-CORSが特定の正規表現を正しく処理しないことがわかりました。リモートの攻撃者が、この問題を利用して、秘密情報を漏えいさせたり、認証の仕組みをバイパスしたりする可能性があります。
    CVE-2024-6839Flask-CORS によって、特定の CORS ヘッダーをデフォルトで有効化できることが、発見されました。リモートの攻撃者がこの問題を悪用して、秘密情報が漏洩する可能性があります。この問題の影響を受けるのは、Ubuntu 20.04 LTS、Ubuntu 22.04 LTS、Ubuntu 24.04 LTS および Ubuntu 24.10 のみです。(CVE-2024-6221)

    Flask-CORSがパスを一致させるときに大文字と小文字を正しく処理しないことがわかりました。リモートの攻撃者がこの問題を悪用して、秘密情報が漏洩する可能性があります。(CVE-2024-6866)

    Flask-CORSがURLパスの特定の文字を正しく処理しないことがわかりました。リモートの攻撃者が、この問題を利用して、秘密情報を漏えいさせたり、認証の仕組みをバイパスしたりする可能性があります。
    (CVE-2024-6844)

    Elias Hohl氏は、Flask-CORSがログエントリを正しくサニタイズしないことを発見しました。リモートの攻撃者が、この問題を利用して、ログファイルを破損させる可能性があります。この問題の影響を受けるのは、Ubuntu 20.04 LTS、Ubuntu 22.04 LTS、およびUbuntu 24.04 LTSのみです。(CVE-2024-1681)

Tenable は、前述の説明ブロックを Ubuntu セキュリティアドバイザリからすでに直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

远程 Ubuntu 20.04 LTS / 22.04 LTS / 24.04 LTS / 24.10 / 25.04 主机上安装的程序包受到 USN-7612-1 公告中提及的多个漏洞的影响。

    已发现 Flask-CORS 未正确处理某些正则表达式。远程攻击者可能利用此问题来泄露敏感信息或绕过认证机制。
    (CVE-2024-6839) 发现 Flask-CORS 允许默认启用某些 CORS 标头。远程攻击者可能会利用此漏洞泄露敏感信息。此问题仅影响 Ubuntu 20.04 LTS、Ubuntu 22.04 LTS、Ubuntu 24.04 LTS 和 Ubuntu 24.10。(CVE-2024-6221)

    发现 Flask-CORS 在匹配路径时未正确处理区分大小写。远程攻击者可能会利用此漏洞泄露敏感信息。(CVE-2024-6866)

    发现 Flask-CORS 未正确处理 URL 路径中的某些字符。远程攻击者可能利用此问题来泄露敏感信息或绕过认证机制。
    (CVE-2024-6844)

    Elias Hohl 发现 Flask-CORS 未正确清理日志条目。远程攻击者可能利用此问题损坏日志文件。此问题仅影响 Ubuntu 20.04 LTS、Ubuntu 22.04 LTS 和 Ubuntu 24.04 LTS。(CVE-2024-1681)

Tenable 已直接从 Ubuntu 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

The Linux/Unix host has one or more packages installed that are impacted by a vulnerability without a vendor supplied patch available.

  - corydolphin/flask-cors is vulnerable to log injection when the log level is set to debug. An attacker can     inject fake log entries into the log file by sending a specially crafted GET request containing a CRLF     sequence in the request path. This vulnerability allows attackers to corrupt log files, potentially     covering tracks of other attacks, confusing log post-processing tools, and forging log entries. The issue     is due to improper output neutralization for logs. (CVE-2024-1681)

Note that Nessus relies on the presence of the package as reported by the vendor.

The remote Debian 11 host has a package installed that is affected by multiple vulnerabilities as referenced in the dla-4197 advisory.

    -------------------------------------------------------------------------     Debian LTS Advisory DLA-4197-1                debian-lts@lists.debian.org     https://www.debian.org/lts/security/                       Daniel Leidert     May 31, 2025                                  https://wiki.debian.org/LTS
    -------------------------------------------------------------------------

    Package        : python-flask-cors     Version        : 3.0.9-2+deb11u1     CVE ID         : CVE-2024-1681 CVE-2024-6839 CVE-2024-6844 CVE-2024-6866     Debian Bug     : 1069764 1100988

    Multiple security issues were discovered in Flask-CORS, a Flask     extension for handling Cross Origin Resource Sharing (CORS).

    CVE-2024-1681

       Due to a log injection vulnerability when the log level is set to        debug, an attacker can inject fake log entries into the log file by        sending a specially crafted GET request containing a CRLF sequence        in the request path.

    CVE-2024-6839

       An improper regex path matching vulnerability due to prioritizing        longer regex patterns over more specific ones when matching paths,        can lead to less restrictive CORS policies being applied to        sensitive endpoints.

    CVE-2024-6844

       An inconsistent CORS matching due to the handling of the '+'        character in URL paths leads to incorrect path normalization,        causing potential mismatches in CORS configuration.

    CVE-2024-6866

       The request path matching is case-insensitive. This results in a        mismatch because paths in URLs are case-sensitive. This        misconfiguration can lead to significant security vulnerabilities,        allowing unauthorized origins to access paths meant to be        restricted.

    For Debian 11 bullseye, these problems have been fixed in version     3.0.9-2+deb11u1.

    We recommend that you upgrade your python-flask-cors packages.

    For the detailed security status of python-flask-cors please refer to     its security tracker page at:
    https://security-tracker.debian.org/tracker/python-flask-cors

    Further information about Debian LTS security advisories, how to apply     these updates to your system and frequently asked questions can be     found at: https://wiki.debian.org/LTS     Attachment:
    signature.asc     Description: This is a digitally signed message part

Tenable has extracted the preceding description block directly from the Debian security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

遠端 Ubuntu 20.04 LTS/22.04 LTS/24.04 LTS/24.10/25.04 主機上安裝的一個套件受到 USN-7612-1 公告中所提及的多個弱點影響。

    據發現Flask-CORS 未正確處理特定規則運算式。遠端攻擊者可能會利用此問題洩漏敏感資訊或繞過驗證機制。
    (CVE-2024-6839) 據發現Flask-CORS 預設允許啟用特定 CORS 標頭。遠端攻擊者可能會利用此問題來造成敏感資訊洩漏。此問題僅影響了 Ubuntu 20.04 LTS、Ubuntu 22.04 LTS、Ubuntu 24.04 LTS 和 Ubuntu 24.10。(CVE-2024-6221)

    據發現Flask-CORS 在比對路徑時未正確區分大小寫。遠端攻擊者可能會利用此問題來造成敏感資訊洩漏。(CVE-2024-6866)

    據發現Flask-CORS 未正確處理 URL 路徑中的特定字元。遠端攻擊者可能會利用此問題洩漏敏感資訊或繞過驗證機制。
    (CVE-2024-6844)

    Elias Hohl 發現 Flask-CORS 未正確清理記錄項目。遠端攻擊者可能會利用此問題損毀記錄檔。此問題僅影響了 Ubuntu 20.04 LTS、Ubuntu 22.04 LTS 和 Ubuntu 24.04 LTS。(CVE-2024-1681)

Tenable 已直接從 Ubuntu 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - ログレベルがデバッグに設定されているとき、corydolphin/flask-corsはログインジェクションに対して脆弱です。攻撃者は、リクエストパスに CRLF シーケンスを含む特別に細工された GET リクエストを送信することで、偽のログエントリをログファイルに挿入する可能性があります。この脆弱性により、攻撃者がログファイルを破損させ、他の攻撃の痕跡を隠したり、ログ後処理ツールを混乱させたり、ログエントリを偽造したりする可能性があります。この問題は、ログの出力無効化が不適切なことによるものです。 （CVE-2024-1681）

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

リモートのDebian 11ホストには、dla-4197アドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    -------------------------------------------------- ----------------------- Debian LTS アドバイザリ DLA-4197-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Daniel Leidert 2025 年 5 月 31 日 https://wiki.debian.org/LTS-------------------------------------------------------------------------

    パッケージ python-flask-cors バージョン 3.0.9-2+deb11u1 CVE ID CVE-2024-1681 CVE-2024-6839 CVE-2024-6844 CVE-2024-6866 Debian バグ 1069764 1100988

    Cross Origin Resource SharingCORSを処理するためのFlask拡張であるFlask-CORSに複数のセキュリティ問題が発見されました。

    CVE-2024-1681

       ログレベルがデバッグに設定されている時にログインジェクション脆弱性があるため、攻撃者が、リクエストパスに CRLF シーケンスを含む特別に細工された GET リクエストを送信することで、偽のログエントリをログファイルに注入する可能性があります。

    CVE-2024-6839

       パスを照合する際に、より長い正規表現パターンよりも長い正規表現パターンが優先されることによる、不適切な正規表現パス照合の脆弱性により、機密性の高いエンドポイントに適用される制限が緩い CORS ポリシーにつながる可能性があります。

    CVE-2024-6844

       URL パスでの「+」文字の処理が原因で、CORS マッチングに一貫性がなくなりました。これにより、不適切なパス正規化が発生し、CORS 構成で不一致が発生する可能性があります。

    CVE-2024-6866

       リクエストパスの照合では、大文字と小文字が区別されません。URL のパスでは大文字と小文字が区別されるため、不一致が生じます。この誤設定により、重大なセキュリティ脆弱性が発生し、制限されるべきパスに、権限のないオリジンがアクセスする可能性があります。

    Debian 11 Bullseyeでは、これらの問題はバージョン3.0.9-2+deb11u1で修正されました。

    python-flask-cors パッケージをアップグレードすることを推奨します。

    python-flask-cors の詳細なセキュリティステータスについては、次のセキュリティトラッカーページを参照してください
    https://security-tracker.debian.org/tracker/python-flask-cors

    Debian LTS セキュリティアドバイザリに関する詳細、これらの更新をシステムに適用する方法、およびよくある質問については、こちらを参照してください。https://wiki.debian.org/LTSAttachment:signature.ascDescription: これはデジタル署名されたメッセージ部分です

Tenable は、前述の説明ブロックを Debian セキュリティアドバイザリから直接抽出しました。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - 当日志级别设置为 debug 时，corydolphin/flask-cors 容易受到日志注入影响。攻击者可通过发送在请求路径中包含 CRLF 序列的特别构建的 GET 请求，将虚假的日志条目注入到日志文件中。此漏洞允许攻击者损坏日志文件，从而可能覆盖其他攻击的轨迹、混淆日志后处理工具以及伪造日志条目。发生此问题的原因是未正确对日志的输出进行中和。 (CVE-2024-1681)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

远程 Debian 11 主机上存在安装的程序包该程序包受到 dla-4197 公告中提及的多个漏洞的影响。

    -------------------------------------------------- ----------------------- Debian LTS 公告 DLA-4197-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Daniel Leidert 2025 年 5 月 31 日 https://wiki.debian.org/LTS-------------------------------------------------------------------------

    程序包python-flask-cors 版本3.0.9-2+deb11u1 CVE ID CVE-2024-1681 CVE-2024-6839 CVE-2024-6844 CVE-2024-6866 Debian 缺陷10697641100988

    在用于处理跨源资源共享 (CORS) 的 Flask 扩展 Flask-CORS 中发现多个安全问题。

    CVE-2024-1681

       由于将日志级别设置为调试时的日志注入漏洞攻击者可通过发送在请求路径中包含 CRLF 序列的特别构建的 GET 请求将假的日志条目注入到日志文件中。

    CVE-2024-6839

       一个不正确的 regex 路径匹配漏洞这是因为在匹配路径时优先考虑更长的 regex 模式而不是更具体的模式可导致限制较少的 CORS 策略应用于敏感端点。

    CVE-2024-6844

       由于 URL 路径中的“+”字符的处理导致的 CORS 匹配不一致导致错误的路径规范化从而造成 CORS 配置潜在的不匹配。

    CVE-2024-6866

       请求路径匹配不区分大小写。这会导致不匹配因为 URL 中的路径区分大小写。此错误配置可导致重大安全漏洞，允许未经授权的来源访问本应受到限制的路径。

    对于 Debian 11 Bullseye这些问题已在 3.0.9-2+deb11u1 版本中修复。

    我们建议您升级 python-flask-cors 程序包。

    有关 python-flask-cors 的详细安全状态请参阅其安全跟踪页面网址
    https://security-tracker.debian.org/tracker/python-flask-cors

    有关 Debian LTS 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://wiki.debian.org/LTSAttachment:signature.ascDescription: 此消息部分已经过数字签署

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且供應商未提供可用的修補程式。

  - 當記錄層級設定為除錯時，corydolphin/flask-cors 容易受到記錄插入影響。攻擊者可傳送要求路徑中含有 CRLF 序列的特製 GET 要求，將假的記錄項目插入記錄檔。此弱點允許攻擊者損毀記錄檔，可能涵蓋其他攻擊的軌跡、混淆記錄後處理工具，以及偽造記錄項目。此問題是因為不當中和記錄的輸出所導致。 (CVE-2024-1681)

請注意，Nessus 依賴供應商報告的套件存在。

遠端 Debian 11 主機安裝了一個受到 dla-4197 公告中提及的多個弱點影響的套件。

    -------------------------------------------------- ----------------------- Debian LTS 公告 DLA-4197-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Daniel Leidert 2025 年 5 月 31 日 https://wiki.debian.org/LTS-------------------------------------------------------------------------

    套件 版本 3.0.9-2+deb11u1 CVE ID CVE-2024-1681 CVE-2024-6839 CVE-2024-6844 CVE-2024-6866 Debian 錯誤 1069764 1100988

    在 Flask-CORS (用於處理跨源資源共用 (CORS) 的 Flask 延伸模組) 中發現多個安全性問題。

    CVE-2024-1681

       由於將記錄層級設定為除錯時有一個記錄插入弱點攻擊者可藉由傳送在要求路徑中包含 CRLF 序列的特製 GET 要求將假的記錄項目插入記錄檔。

    CVE-2024-6839

       有一個不正確的 regex 路徑比對弱點這是因為在比對路徑時較長的 regex 模式優先於較特定的模式所致可導致將限制較少的 CORS 原則套用到敏感端點。

    CVE-2024-6844

       因為處理 URL 路徑中的「+」字元所導致的不一致 CORS 比對導致路徑標準化不正確進而在 CORS 組態中造成潛在的不相符。

    CVE-2024-6866

       要求路徑比對不區分大小寫。這會導致不相符因為 URL 中的路徑是區分大小寫的。此錯誤設定可導致嚴重的安全性弱點進而允許未經授權的來源存取本應受到限制的路徑。

    針對 Debian 11 Bullseye這些問題已在 3.0.9-2+deb11u1 版本中修正。

    建議您升級 python-flask-cors 套件。

    如需 python-flask-cors 的詳細安全性狀態請參閱其安全性追踪頁面
    https://security-tracker.debian.org/tracker/python-flask-cors

    有關 Debian LTS 安全公告、如何將這些更新套用至您的系統以及常見問題的詳細資訊，請參閱：https://wiki.debian.org/LTSAttachment:signature.ascDescription: 這是數位簽署的訊息部分

Tenable 已直接從 Debian 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

ID	Name	Product	Family	Published	Updated	Severity
211173	Fedora 41 : python-flask-cors (2024-e5558a889a)	Nessus	Fedora Local Security Checks	11/14/2024	7/31/2025	medium
241350	Ubuntu 20.04 LTS / 22.04 LTS / 24.04 LTS / 24.10 / 25.04 : Flask-CORS vulnerabilities (USN-7612-1)	Nessus	Ubuntu Local Security Checks	7/4/2025	7/4/2025	high
241350	Ubuntu 20.04 LTS / 22.04 LTS / 24.04 LTS / 24.10 / 25.04 Flask-CORS の脆弱性USN-7612-1	Nessus	Ubuntu Local Security Checks	7/4/2025	7/4/2025	high
241350	Ubuntu 20.04 LTS / 22.04 LTS / 24.04 LTS / 24.10 / 25.04 Flask-CORS 漏洞 (USN-7612-1)	Nessus	Ubuntu Local Security Checks	7/4/2025	7/4/2025	high
227797	Linux Distros Unpatched Vulnerability : CVE-2024-1681	Nessus	Misc.	3/5/2025	9/7/2025	medium
237621	Debian dla-4197 : python3-flask-cors - security update	Nessus	Debian Local Security Checks	5/31/2025	5/31/2025	medium
241350	Ubuntu 20.04 LTS / 22.04 LTS / 24.04 LTS / 24.10 / 25.04 Flask-CORS 弱點 (USN-7612-1)	Nessus	Ubuntu Local Security Checks	7/4/2025	7/4/2025	high
227797	Linux Distros のパッチ未適用の脆弱性: CVE-2024-1681	Nessus	Misc.	3/5/2025	9/7/2025	medium
237621	Debian dla-4197 python3-flask-cors - セキュリティ更新	Nessus	Debian Local Security Checks	5/31/2025	5/31/2025	medium
227797	Linux Distros 未修补的漏洞: CVE-2024-1681	Nessus	Misc.	3/5/2025	9/7/2025	medium
237621	Debian dla-4197python3-flask-cors - 安全更新	Nessus	Debian Local Security Checks	5/31/2025	5/31/2025	medium
227797	Linux Distros 未修補弱點：CVE-2024-1681	Nessus	Misc.	3/5/2025	9/7/2025	medium
237621	Debian dla-4197python3-flask-cors - 安全性更新	Nessus	Debian Local Security Checks	5/31/2025	5/31/2025	medium

Detections

Analytics

Plugins Search

medium

high

high

high

medium

medium

high

medium

medium

medium

medium

medium

medium