The Linux/Unix host has one or more packages installed that are impacted by a vulnerability without a vendor supplied patch available.

  - A vulnerability was found in ESAPI esapi-java-legacy and classified as problematic. This issue affects the     interface Encoder.encodeForSQL of the SQL Injection Defense. An attack leads to an improper neutralization     of special elements. The attack may be initiated remotely and an exploit has been disclosed to the public.
    The project was contacted early about this issue and handled it with an exceptional level of     professionalism. Upgrading to version 2.7.0.0 is able to address this issue. Commit ID     f75ac2c2647a81d2cfbdc9c899f8719c240ed512 is disabling the feature by default and any attempt to use it     will trigger a warning. And commit ID e2322914304d9b1c52523ff24be495b7832f6a56 is updating the misleading     Java class documentation to warn about the risks. (CVE-2025-5878)

Note that Nessus relies on the presence of the package as reported by the vendor.

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - ESAPI esapi-java-legacy に脆弱性が見つかり、問題があるものに分類されました。この問題は、SQL インジェクション防御のインターフェース Encoder.encodeForSQL に影響を与えます。攻撃は、特別な要素の不適切な中立化につながります。攻撃はリモートで開始され、悪用が一般に漏洩しています。
    プロジェクトはこの問題について早期に連絡され、例外的なレベルの専門性で処理されました。バージョン 2.7.0.0 にアップグレードすると、この問題に対処できます。コミット ID f75ac2c2647a81d2cfbdc9c899f8719c240ed512 はこの機能をデフォルトで無効にしており、これを使用しようとすると警告が発生します。コミット ID e2322914304d9b1c52523ff24be495b7832f6a56 は、リスクについて警告するために誤解を招く Java クラスのドキュメントを更新しています。CVE-2025-5878

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

The remote Debian 11 host has a package installed that is affected by multiple vulnerabilities as referenced in the dla-4246 advisory.

    -------------------------------------------------------------------------     Debian LTS Advisory DLA-4246-1                debian-lts@lists.debian.org     https://www.debian.org/lts/security/                      Markus Koschany     July 22, 2025                                 https://wiki.debian.org/LTS
    -------------------------------------------------------------------------

    Package        : libowasp-esapi-java     Version        : 2.4.0.0-0+deb11u1     CVE ID         : CVE-2022-23457 CVE-2022-24891 CVE-2025-5878     Debian Bug     : 1010339 1109378

    Several security vulnerabilities have been discovered in libowasp-esapi-java,     a Java Enterprise Security API.

    CVE-2022-23457:

        ESAPI (The OWASP Enterprise Security API) is a free, open source, web         application security control library. Prior to this update the default         implementation of `Validator.getValidDirectoryPath(String, String, File,         boolean)` may incorrectly treat the tested input string as a child of the         specified parent directory. This potentially could allow control-flow         bypass checks to be defeated if an attack can specify the entire string         representing the 'input' path.

    CVE-2022-24891:

        There is a potential for a cross-site scripting vulnerability in ESAPI         caused by a incorrect regular expression for onsiteURL in the
        **antisamy-esapi.xml** configuration file that can cause javascript: URLs         to fail to be correctly sanitized.

    CVE-2025-5878:

        This issue affects the interface Encoder.encodeForSQL of the         SQL Injection Defense. An attack leads to an improper neutralization of         special elements. We are not aware of any affected reverse-dependencies in         Debian but if you use ESAPI in a stand-alone project, you should be aware         that the Encoder.encodeForSQL method has been deprecated and will be         removed eventually. In addition the DB2Codec, MySQLCodec and OracleCodec         classes have been deprecated too. We recommend to carefully assess if         your project might be affected by these classes and methods and if you have         to implement additional steps to secure your application. The update does         not automatically protect you from any potential risks.

    For Debian 11 bullseye, these problems have been fixed in version     2.4.0.0-0+deb11u1.

    We recommend that you upgrade your libowasp-esapi-java packages.

    For the detailed security status of libowasp-esapi-java please refer to     its security tracker page at:
    https://security-tracker.debian.org/tracker/libowasp-esapi-java

    Further information about Debian LTS security advisories, how to apply     these updates to your system and frequently asked questions can be     found at: https://wiki.debian.org/LTS     Attachment:
    signature.asc     Description: This is a digitally signed message part

Tenable has extracted the preceding description block directly from the Debian security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - 在 ESAPI esapi-java-legacy 中发现漏洞并归类为有问题的漏洞。此问题影响 SQL 注入防御的接口 Encoder.encodeForSQL。攻击导致不正确地无效化特殊元素。攻击可从远程发起且已向公开披露一个可遭利用的漏洞。
    我们尽早就此问题联系了该项目团队并且他们以非常专业的方式进行了处理。升级到 2.7.0.0 版本可解决此问题。提交 ID f75ac2c2647a81d2cfbdc9c899f8719c240ed512 默认情况下禁用 该功能任何使用该功能的尝试都将触发警告。提交 ID e2322914304d9b1c52523ff24be495b7832f6a56 正在更新误导性的 Java 类文档以警告有关风险。 (CVE-2025-5878)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

远程 Debian 11 主机上存在安装的程序包该程序包受到 dla-4246 公告中提及的多个漏洞的影响。

    -------------------------------------------------- ----------------------- Debian LTS 公告 DLA-4246-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Markus Koschany 2025 年 7 月 22 日 https://wiki.debian.org/LTS-------------------------------------------------------------------------

    程序包libowasp-esapi-java 版本2.4.0.0-0+deb11u1 CVE ID CVE-2022-23457 CVE-2022-24891 CVE-2025-5878 Debian 缺陷10103391109378

    在 libowasp-esapi-java一种 Java Enterprise Security API 中发现数个安全漏洞。

    CVE-2022-23457:

        ESAPI (OWASP Enterprise Security API) 是一个免费的开源 Web 应用程序安全控件库。在此更新之前“Validator.getValidDirectoryPath(String, String, File, boolean)”的默认实现可能错误地将测试的输入字符串视为指定父目录的子目录。如果攻击可以指定表示“输入”路径的完整字符串则其可能允许控制流绕过检查遭到破坏。

    CVE-2022-24891:

        在 ESAPI 中可能存在跨站脚本漏洞原因是 ESAPI 中 onsiteURL 的错误正则表达式。
        **antisamy-esapi.xml** 配置文件可造成无法正确清理 javascriptURL。

    CVE-2025-5878:

        此问题影响 SQL 注入防御的接口 Encoder.encodeForSQL。攻击导致不正确地无效化特殊元素。我们不知道 Debian 中的任何受影响的反向依存关系但是如果您在独立的项目中使用 ESAPI您应该注意Encoder.encodeForSQL 方法已被弃用并且最终将被删除。此外DB2Codec、MySQLCodec 和 OracleCodec 类也已被弃用。建议仔细评估 项目是否会受到这些类和方法的影响以及是否必须实施其他步骤来保护应用程序。此更新不会自动保护您免受任何潜在风险。

    对于 Debian 11 Bullseye已在 2.4.0.0-0+deb11u1 版本中修复这些问题。

    我们建议您升级 libowasp-esapi-java 程序包。

    有关 libowasp-esapi-java 的详细安全状态请参阅其安全跟踪页面网址
    https://security-tracker.debian.org/tracker/libowasp-esapi-java

    有关 Debian LTS 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://wiki.debian.org/LTSAttachment:signature.ascDescription: 此消息部分已经过数字签署

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

リモートのDebian 11ホストには、dla-4246アドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    -------------------------------------------------- ----------------------- Debian LTS アドバイザリ DLA-4246-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Markus Koschany 2025 年 7 月 22 日 https://wiki.debian.org/LTS-------------------------------------------------------------------------

    パッケージ libowasp-esapi-java バージョン 2.4.0.0-0+deb11u1 CVE ID CVE-2022-23457 CVE-2022-24891 CVE-2025-5878 Debian バグ1010339 1109378

    Java Enterprise Security API である libowasp-esapi-java に複数のセキュリティの脆弱性が発見されました。

    CVE-2022-23457:

        ESAPI (OWASP Enterprise Security API) は、無料のオープンソースのウェブアプリケーションセキュリティコントロールライブラリです。この更新より前の「Validator.getValidDirectoryPath(String, String, File, boolean)」のデフォルト実装は、テストされた入力文字列を指定された親ディレクトリの子として不適切に扱う可能性があります。これにより、攻撃者が「入力」パスを表す文字列全体を指定できる場合、制御フローバイパスチェックを無効にできる可能性があります。

    CVE-2022-24891:

        ESAPI にクロスサイトスクリプティングの脆弱性の可能性があります。これは、
        **antisamy-esapi.xml** 構成ファイルにより、javascript: URL を正しくサニタイズできません。

    CVE-2025-5878:

        この問題は、SQL インジェクション防御のインターフェース Encoder.encodeForSQL に影響を与えます。攻撃は、特別な要素の不適切な中立化につながります。Debian で影響を受ける逆依存関係は認識されていませんが、スタンドアロンプロジェクトで ESAPI を使用している場合は、Encoder.encodeForSQL メソッドが廃止され、最終的に削除されることに留意してください。さらに、DB2Codec、MySQLCodec および OracleCodec のクラスも廃止されました。プロジェクトがこれらのクラスとメソッドの影響を受けるかどうか、およびアプリケーションを保護するために追加のステップを実装する必要があるかどうかを、慎重に評価することを推奨しています。の更新は、潜在的なリスクから自動的に保護されません。

    Debian 11 Bullseyeでは、これらの問題はバージョン2.4.0.0-0+deb11u1で修正されました。

    libowasp-esapi-java パッケージをアップグレードすることを推奨します。

    libowasp-esapi-java の詳細なセキュリティステータスについては、次のセキュリティトラッカーページを参照してください
    https://security-tracker.debian.org/tracker/libowasp-esapi-java

    Debian LTS セキュリティアドバイザリに関する詳細、これらの更新をシステムに適用する方法、およびよくある質問については、こちらを参照してください。https://wiki.debian.org/LTSAttachment:signature.ascDescription: これはデジタル署名されたメッセージ部分です

Tenable は、前述の説明ブロックを Debian セキュリティアドバイザリから直接抽出しました。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且供應商未提供可用的修補程式。

  - 在 ESAPI esapi-java-legacy 中發現一個弱點且分類為有問題。此問題會影響 SQL 插入防禦的 Encoder.encodeForSQL 介面。攻擊導致不當中和特殊元素。攻擊可能從遠端起始且一個惡意利用已公開洩漏。
    專案已就此問題及早聯絡過該專案並以超凡的專業水平加以處理。升級至 2.7.0.0 版可解決此問題。認可 ID f75ac2c2647a81d2cfbdc9c899f8719c240ed512 預設為停用此功能且任何嘗試使用該功能都會觸發警告。認可 ID e2322914304d9b1c52523ff24be495b7832f6a56 將更新誤導的 Java 類別文件以警告風險。 (CVE-2025-5878)

請注意，Nessus 依賴供應商報告的套件存在。

遠端 Debian 11 主機安裝了一個套件其受到 dla-4246 公告中所提及的多個弱點影響。

    -------------------------------------------------- ----------------------- Debian LTS 公告 DLA-4246-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Markus Koschany 2025 年 7 月 22 日 https://wiki.debian.org/LTS-------------------------------------------------------------------------

    套件 版本 2.4.0.0-0+deb11u1 CVE ID CVE-2022-23457 CVE-2022-24891 CVE-2025-5878 Debian 錯誤 1010339 1109378

    在 libowasp-esapi-java (一種 Java 企業安全性 API) 中發現數個安全性弱點。

    CVE-2022-23457：

        ESAPI (OWASP Enterprise Security API) 是免費、開放原始碼的 web 應用程式安全性控製程式庫。在此更新之前「Validator.getValidDirectoryPath(String, String, File, boolean)」的預設實作可能會不正確地將測試過的輸入字串視為指定父目錄的子目錄。如果攻擊者可指定代表「input」路徑的完整字串這可能會讓控制流程繞過檢查失敗。

    CVE-2022-24891：

        ESAPI 中可能會出現一個跨網站指令碼弱點這是因為在
        **antisamy-esapi.xml** 設定檔可造成 javascript: URL 無法正確清理。

    CVE-2025-5878：

        此問題會影響 SQL 插入防禦的 Encoder.encodeForSQL 介面。攻擊導致不當中和特殊元素。我們未發現 Debian 中有任何受影響的反向相依性但如果您在獨立專案中使用 ESAPI則應該知道 Encoder.encodeForSQL 方法已過時且最終將被移除。此外DB2Codec、MySQLCodec 和 OracleCodec 類別也已過時。建議您仔細評估您的專案是否會受到這些類別和方法影響以及是否必須實作其他步驟來保護您的應用程式。此更新不會自動保護您免受任何潛在風險的影響。

    針對 Debian 11 Bullseye這些問題已在 2.4.0.0-0+deb11u1 版本中修正。

    建議您升級 libowasp-esapi-java 套件。

    如需 libowasp-esapi-java 安全性狀態的詳細資訊請參閱其安全性追踪頁面
    https://security-tracker.debian.org/tracker/libowasp-esapi-java

    有關 Debian LTS 安全公告、如何將這些更新套用至您的系統以及常見問題的詳細資訊，請參閱：https://wiki.debian.org/LTSAttachment:signature.ascDescription: 這是數位簽署的訊息部分

Tenable 已直接從 Debian 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

ID	Name	Product	Family	Published	Updated	Severity
247283	Linux Distros Unpatched Vulnerability : CVE-2025-5878	Nessus	Misc.	8/10/2025	8/30/2025	medium
247283	Linux Distros のパッチ未適用の脆弱性: CVE-2025-5878	Nessus	Misc.	8/10/2025	8/30/2025	medium
242493	Debian dla-4246 : libowasp-esapi-java - security update	Nessus	Debian Local Security Checks	7/22/2025	7/22/2025	medium
247283	Linux Distros 未修补的漏洞：CVE-2025-5878	Nessus	Misc.	8/10/2025	8/30/2025	medium
242493	Debian dla-4246libowasp-esapi-java - 安全更新	Nessus	Debian Local Security Checks	7/22/2025	7/22/2025	medium
242493	Debian dla-4246 : libowasp-esapi-java - セキュリティ更新	Nessus	Debian Local Security Checks	7/22/2025	7/22/2025	medium
247283	Linux Distros 未修補的弱點：CVE-2025-5878	Nessus	Misc.	8/10/2025	8/30/2025	medium
242493	Debian dla-4246libowasp-esapi-java - 安全性更新	Nessus	Debian Local Security Checks	7/22/2025	7/22/2025	medium

Detections

Analytics

Plugins Search

medium

medium

medium

medium

medium

medium

medium

medium