远程主机上安装的 IBM Spectrum Protect Plus Web UI 版本低于 10.1.17.1 IBM Spectrum Protect Plus。因此如公告 7237702 所述受到多个漏洞的影响。

  - Jinja 是可扩展的模板引擎。在 3.1.6 版本之前，Jinja 沙盒环境与 |attr 过滤器的交互机制存在设计缺陷，允许控制模板内容的攻击者执行任意 Python 代码。攻击者必须控制模板内容才能利用此漏洞。是否如此取决于使用 Jinja 的应用程序类型。此漏洞会影响执行不受信任模板的应用程序用户。Jinja 的沙盒会捕捉对 str.format 的调用并确保其不会逸出沙盒。Jinja 的沙盒确实会拦截对 str.format 的调用并确保其不会逃逸沙盒环境。然而，攻击者可以使用 |attr 过滤器获取对字符串的明文格式方法的引用，从而绕过沙盒。修复后，|attr 过滤器不再绕过环境的属性查询。此漏洞已在 3.1.6 中修复。
    (CVE-2025-27516)

  - 这会影响 9.0.0之前的程序包 node-notifier。攻击者可利用此漏洞在 Linux 计算机上运行任意命令原因是在向数组传递选项参数时未对其进行审查。 (CVE-2020-7789)

  - Requests 是一个 HTTP 库。自 Requests 2.3.0 起，当重定向到 HTTPS 端点时，Requests 会一直向目标服务器泄露 Proxy-Authorization 标头。这是我们使用 `rebuild_proxies` 向请求重新附加 `Proxy-Authorization` 标头的结果。对于通过隧道发送的 HTTP 连接，代理将识别请求本身的标头并将其删除，然后再转发到目标服务器。但是，当通过 HTTPS 发送时，由于代理无法查看隧道请求，因而必须在 CONNECT 请求中发送 `Proxy-Authorization` 标头。这会导致 Requests 意外将代理凭据转发到目标服务器，从而允许恶意攻击者泄露敏感信息。已在版本 2.31.0 中修补此问题。
    (CVE-2023-32681)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - 特定元数据输入的不当验证可能会导致服务器无法正确序列化 BSON。
    这可能在预身份验证时执行并且可能造成意外的应用程序行为包括 serverStatus 响应不可用。此问题会影响低于 7.0.6的 MongoDB Server v7.0 版本、低于 6.0.14 的 MongoDB Server v6.0 版本以及低于 5.0.25的 MongoDB Server v.5.0 版本。
    (CVE-2024-3372)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

遠端主機上安裝的 IBM Spectrum Protect Plus Web UI 版本比 10.1.17.1 IBM Spectrum Protect Plus 舊。因此會受到 7237702 公告中所提及的多個弱點影響。

  - Jinja 是可延伸的範本引擎。在 3.1.6 之前的版本中，疏忽了 Jinja 沙箱環境與 |attr 篩選器互動的方式，允許控制範本內容的攻擊者執行任意 Python 程式碼。若要惡意利用此弱點，攻擊者需要控制範本的內容。是否如此，取決於使用 Jinja 的應用程式類型。此弱點會影響執行未受信任範本的應用程式使用者。Jinja 的沙箱會擷取 str.format 呼叫，並確保其不會逸出沙箱。不過，可以使用屬性篩選器繞過沙箱，取得字串純格式方法的參照。在修復之後，attr 篩選器不會再繞過環境的屬性查閱。此弱點已在 3.1.6 中修正。
    (CVE-2025-27516)

  - 此問題會影響 9.0.0之前的套件 node-notifier。由於在傳遞陣列時未清理選項參數它可讓攻擊者在 Linux 機器上執行任意命令。 (CVE-2020-7789)

  - Requests 是一個 HTTP 程式庫。自 Requests 2.3.0 起，Requests 重新導向至 HTTPS 端點時會向目的地伺服器洩漏 Proxy-Authorization 標頭。這是我們使用 `rebuild_proxies` 將 `Proxy-Authorization` 標頭重新附加到要求的結果。對於透過通道傳送的 HTTP 連線，Proxy 會識別要求本身中的標頭，並在轉送至目的地伺服器之前將其移除。但在透過 HTTPS 傳送時，因為 Proxy 無法檢視通道要求，因而必須在 CONNECT 要求中傳送「Proxy-Authorization」標頭。這會導致 Requests 意外將 Proxy 憑證轉送至目的地伺服器，進而允許惡意執行者洩漏敏感資訊。此問題已在 2.31.0 版中修正。
    (CVE-2023-32681)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且廠商未提供可用的修補程式。

  - 不當驗證特定詮釋資料輸入可能導致伺服器未正確序列化 BSON。
    這可以在驗證前執行且可能造成非預期的應用程式行為包括無法使用 serverStatus 回應。此問題會影響 7.0.6之前的 MongoDB Server v7.0 版、 6.0.14 之前的 MongoDB Server v6.0 版以及 5.0.25之前的 MongoDB Server v.5.0 版。
    (CVE-2024-3372)

請注意，Nessus 依賴供應商報告的套件存在。

远程主机上安装的 MongoDB 版本低于 5.0.25、6.0.14 或 7.0.6。因此如公告 SERVER-85263 所述受到一个漏洞的影响。

  - 特定元数据输入的不当验证可能会导致服务器无法正确序列化 BSON。
    这可能在预身份验证时执行并且可能造成意外的应用程序行为包括 serverStatus 响应不可用。此问题会影响低于 7.0.6的MongoDB Server v7.0 版本、低于 6.0.14 的MongoDB Server v6.0 版本以及低于 5.0.25的MongoDB Server v.5.0 版本。
    (CVE-2024-3372)

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

遠端主機上安裝的 MongoDB 版本低於 5.0.25、6.0.14 或 7.0.6，因此會受到 SERVER-85263 公告中所提及的一個弱點影響。

  - 不當驗證特定詮釋資料輸入可能導致伺服器未正確序列化 BSON。
    這可以在驗證前執行且可能造成非預期的應用程式行為包括無法使用 serverStatus 回應。此問題會影響 7.0.6之前的 MongoDB Server v7.0 版、 6.0.14 之前的 MongoDB Server v6.0 版以及 5.0.25之前的 MongoDB Server v.5.0 版。
    (CVE-2024-3372)

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

リモートホストにインストールされている MongoDB のバージョンは、5.0.25、6.0.14、7.0.6 より前です。したがって、SERVER-85263アドバイザリに記載されている脆弱性の影響を受けます。

  - 特定のメタデータ入力が不適切に検証されているため、サーバーがBSONを正しくシリアル化しない可能性があります。
    これは事前認証に実行でき、serverStatus 応答が利用できなくなるなど、アプリケーションの予期しない動作を引き起こす可能性があります。この問題は、 7.0.6バージョンより前の MongoDB Server v7.0、 6.0.14 バージョンより前の MongoDB Server v6.0、および 5.0.25バージョンより前の MongoDB Server v.5.0 に影響します。
    (CVE-2024-3372)

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートホストにインストールされているIBM Spectrum Protect Plus Web UIのバージョンは、 10.1.17.1 IBM Spectrum Protect Plusより前です。したがって、7237702のアドバイザリに記載されている複数の脆弱性の影響を受けます。

  - Jinja は、拡張可能なテンプレートエンジンです。3.1.6 より前、Jinja サンドボックス環境が |attr フィルターと対話する方法の不備により、テンプレートのコンテンツを制御する攻撃者が任意の Python コードを実行する可能性があります。この脆弱性を悪用するには、攻撃者はテンプレートのコンテンツを制御する必要があります。そのようになるかどうかは、Jinja を使用するアプリケーションの種類によって異なります。この脆弱性は、信頼できないテンプレートを実行するアプリケーションのユーザーに影響を与えます。Jinja のサンドボックスは str.format への呼び出しをキャッチし、サンドボックスをエスケープしないようにします。ただし、attr フィルターを使用して、文字列のプレーンな書式設定メソッドへの参照を取得し、サンドボックスをバイパスする可能性があります。修正後、attr フィルターは環境の属性検索をバイパスしなくなりました。この脆弱性は 3.1.6 で修正されています。
    (CVE-2025-27516)

  - これは 9.0.0より前のパッケージ node-notifier に影響します。配列が渡されるときにオプションパラメーターがサニタイズされないため、攻撃者はLinuxマシンで任意のコマンドを実行する可能性があります。CVE-2020-7789

  - Requests は HTTP ライブラリです。Requests 2.3.0以降では、Requests が HTTPS エンドポイントにリダイレクトされた際に、Proxy-Authorization ヘッダーが宛先サーバーに漏洩しています。これは、リクエストを「Proxy-Authorization」ヘッダーに再添付するために「rebuild_proxies」を使用する方法の製品です。トンネル経由で送信される HTTP 接続の場合、プロキシはリクエスト自体のヘッダーを識別し、宛先サーバーに転送する前にそれを削除します。ただし、プロキシはトンネル化されたリクエストを確認できないため、HTTPS 経由で送信するときは、CONNECT リクエストで「Proxy-Authorization」ヘッダーを送信する必要があります。これにより、リクエストが意図せずにプロキシ認証情報を宛先サーバーに転送し、悪意のある攻撃者が機密情報を漏洩させる可能性があります。この問題には、バージョン 2.31.0 でパッチが適用されています。
    (CVE-2023-32681)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - 特定のメタデータ入力が不適切に検証されているため、サーバーがBSONを正しくシリアル化しない可能性があります。
    これは事前認証に実行でき、serverStatus 応答が利用できなくなるなど、アプリケーションの予期しない動作を引き起こす可能性があります。この問題は、 7.0.6バージョンより前の MongoDB Server v7.0、 6.0.14 バージョンより前の MongoDB Server v6.0、およびバージョン より前の 5.0.25MongoDB Server v.5.0 に影響します。
    (CVE-2024-3372)

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

The version of MongoDB installed on the remote host is prior to 5.0.25, 6.0.14, or 7.0.6. It is, therefore, affected by a vulnerability as referenced in the SERVER-85263 advisory.

  - Improper validation of certain metadata input may result in the server not correctly serialising BSON.
    This can be performed pre-authentication and may cause unexpected application behavior including     unavailability of serverStatus responses. This issue affects MongoDB Server v7.0 versions prior to 7.0.6,     MongoDB Server v6.0 versions prior to 6.0.14 and MongoDB Server v.5.0 versions prior to 5.0.25.
    (CVE-2024-3372)

Note that Nessus has not tested for this issue but has instead relied only on the application's self-reported version number.

The version of IBM Spectrum Protect Plus Web UI installed on the remote host is prior to 10.1.17.1 IBM Spectrum Protect Plus. It is, therefore, affected by multiple vulnerabilities as referenced in the 7237702 advisory.

  - Jinja is an extensible templating engine. Prior to 3.1.6, an oversight in how the Jinja sandboxed     environment interacts with the |attr filter allows an attacker that controls the content of a template to     execute arbitrary Python code. To exploit the vulnerability, an attacker needs to control the content of a     template. Whether that is the case depends on the type of application using Jinja. This vulnerability     impacts users of applications which execute untrusted templates. Jinja's sandbox does catch calls to     str.format and ensures they don't escape the sandbox. However, it's possible to use the |attr filter to     get a reference to a string's plain format method, bypassing the sandbox. After the fix, the |attr filter     no longer bypasses the environment's attribute lookup. This vulnerability is fixed in 3.1.6.
    (CVE-2025-27516)

  - This affects the package node-notifier before 9.0.0. It allows an attacker to run arbitrary commands on     Linux machines due to the options params not being sanitised when being passed an array. (CVE-2020-7789)

  - Requests is a HTTP library. Since Requests 2.3.0, Requests has been leaking Proxy-Authorization headers to     destination servers when redirected to an HTTPS endpoint. This is a product of how we use     `rebuild_proxies` to reattach the `Proxy-Authorization` header to requests. For HTTP connections sent     through the tunnel, the proxy will identify the header in the request itself and remove it prior to     forwarding to the destination server. However when sent over HTTPS, the `Proxy-Authorization` header must     be sent in the CONNECT request as the proxy has no visibility into the tunneled request. This results in     Requests forwarding proxy credentials to the destination server unintentionally, allowing a malicious     actor to potentially exfiltrate sensitive information. This issue has been patched in version 2.31.0.
    (CVE-2023-32681)

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

The Linux/Unix host has one or more packages installed that are impacted by a vulnerability without a vendor supplied patch available.

  - Improper validation of certain metadata input may result in the server not correctly serialising BSON.
    This can be performed pre-authentication and may cause unexpected application behavior including     unavailability of serverStatus responses. This issue affects MongoDB Server v7.0 versions prior to 7.0.6,     MongoDB Server v6.0 versions prior to 6.0.14 and MongoDB Server v.5.0 versions prior to 5.0.25.
    (CVE-2024-3372)

Note that Nessus relies on the presence of the package as reported by the vendor.

ID	Name	Product	Family	Published	Updated	Severity
240343	IBM Spectrum Protect Plus Web UI 10.1.0 < 10.1.17.1 (7237702)	Nessus	Misc.	6/25/2025	3/11/2026	medium
260551	Linux Distros 未修补的漏洞：CVE-2024-3372	Nessus	Misc.	9/2/2025	7/12/2026	high
240343	IBM Spectrum Protect Plus Web UI 10.1.0 < 10.1.17.1 (7237702)	Nessus	Misc.	6/25/2025	3/11/2026	medium
260551	Linux Distros 未修補的弱點：CVE-2024-3372	Nessus	Misc.	9/2/2025	7/12/2026	high
197879	MongoDB 5.0.x < 5.0.25 / 6.0.x < 6.0.14 / 7.0.x < 7.0.6 不当输入验证 (SERVER-85263)	Nessus	Databases	5/24/2024	3/13/2026	high
197879	MongoDB 5.0.x < 5.0.25 / 6.0.x < 6.0.14 / 7.0.x < 7.0.6 不當輸入驗證 (SERVER-85263)	Nessus	Databases	5/24/2024	3/13/2026	high
197879	MongoDB 5.0.x < 5.0.25 / 6.0.x < 6.0.14 / 7.0.x < 7.0.6 不適切な入力検証SERVER-85263	Nessus	Databases	5/24/2024	3/13/2026	high
240343	IBM Spectrum Protect Plus Web UI 10.1.0 < 10.1.17.1 7237702	Nessus	Misc.	6/25/2025	3/11/2026	medium
260551	Linux Distros のパッチ未適用の脆弱性: CVE-2024-3372	Nessus	Misc.	9/2/2025	7/12/2026	high
197879	MongoDB 5.0.x < 5.0.25 / 6.0.x < 6.0.14 / 7.0.x < 7.0.6 Improper Input Validation (SERVER-85263)	Nessus	Databases	5/24/2024	3/13/2026	high
240343	IBM Spectrum Protect Plus Web UI 10.1.0 < 10.1.17.1 (7237702)	Nessus	Misc.	6/25/2025	3/11/2026	medium
260551	Linux Distros Unpatched Vulnerability : CVE-2024-3372	Nessus	Misc.	9/2/2025	7/12/2026	high

Detections

Analytics

Plugins Search

medium

high

medium

high

high

high

high

medium

high

high

medium

high