There are packages installed that are affected by a vulnerability referenced in the following CVE:

  - Authlib is a Python library which builds OAuth and OpenID Connect servers. From 0.13 until 1.8.0,
    authlib.common.security.is_secure_transport() uses a textual prefix comparison for loopback HTTP
    exemptions, so a URL whose userinfo begins with a loopback host can be accepted even when its parsed host
    is an external non-loopback system. An external party able to supply a URL to OIDC RP-Initiated Logout
    registration, authorization-server metadata validation, or another call site can bypass the TLS-required
    guard and cause cleartext redirection or acceptance of cleartext endpoints. The issue does not bypass
    redirect URI exact matching and does not by itself forge tokens or authenticate users. The vulnerable
    authlib.common.security.is_secure_transport() implementation in authlib/common/security.py misinterprets
    the userinfo component before OIDC RP-Initiated Logout dynamic client registration and other consumers
    enforce transport security. This issue is fixed in version 1.8.0. (CVE-2026-114614)

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - Authlib 是构建 OAuth 和 OpenID Connect 服务器的 Python 库。From 0.13 until 1.8.0， authlib.common.security.is_secure_transport（） 使用文本前缀比较实现环回 HTTP 豁免，因此即使其解析的主机是外部非回环系统，也可以接受 userinfo 以环回主机开头的 URL。能够向 OIDC RP 发起的注销注册、授权服务器元数据验证或其他调用站点提供 URL 的外部方可绕过 TLS 要求的防护并导致明文重定向或接受明文端点。此问题不会绕过重定向 URI 精确匹配，其本身也不会伪造标记或认证用户。authlib/common/security.py 中有漏洞的 authlib.common.security.is_secure_transport（） 实现会在 OIDC RP-Initiated Logout 动态客户端注册和其他消费者强制执行传输安全之前，曲解 userinfo 组件。此问题已在 1.8.0 版本中修复。(CVE-2026-114614)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且廠商未提供可用的修補程式。

  - Authlib 是一種 Python 程式庫，可構建 OAuth 和 OpenID Connect 伺服器。從0.131.8.0直到 ，authlib.common.security.is_secure_transport（） 使用文字前綴比較來進行回送HTTP豁免，因此即使其剖析的主機是外部非回送系統，也可以接受使用者資訊以回送主機開頭的 URL。能夠提供 OIDC RP 起始登出註冊、授權伺服器中繼資料驗證或其他呼叫網站 URL 的外部合作方可以繞過 TLS 所需的防護，並導致純文字重新導向或接受純文字端點。此問題不會繞過重新導向 URI 完全比對，也不會自行偽造權杖或驗證使用者。authlib/common/security.py 中易受攻擊的 authlib.common.security.is_secure_transport（） 實作會在 OIDC RP 啟動登出動態用戶端註冊和其他消費者強制執行傳輸安全性之前，誤解 userinfo 元件。1.8.0 版已修正此問題。(CVE-2026-114614)

請注意，Nessus 依賴供應商報告的套件存在。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - Authlib は、OAuth および OpenID Connect サーバーを構築する Python ライブラリの一種です。0.13から1.8.0まで、authlib.common.security.is_secure_transport()はループバックHTTPの除外にテキストプレフィックスの比較を使用するため、ユーザー情報がループバックホストで始まるURLは、解析されたホストが外部の非ループバックシステムの場合でも受け入れられます。OIDC RPが開始したログアウト登録、承認サーバーメタデータ検証、または別の呼び出しサイトにURLを提供できる外部の当事者が、TLS必須のガードをバイパスし、クリアテキストのリダイレクトまたはクリアテキストのエンドポイントの受け入れを引き起こす可能性があります。この問題は、リダイレクト URI の完全一致をバイパスせず、それ自体ではトークンを偽造したり、ユーザーを認証したりしません。authlib/common/security.py の脆弱なauthlib.common.security.is_secure_transport実装は、OIDC RP-Initiated Logout、動的クライアント登録、および他のコンシューマーがトランスポートセキュリティを実施する前に、userinfoコンポーネントを誤って解釈します。この問題はバージョン 1.8.0 で修正されています。(CVE-2026-114614)

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

The Linux/Unix host has one or more packages installed that are impacted by a vulnerability without a vendor supplied patch available.

  - Authlib is a Python library which builds OAuth and OpenID Connect servers. From 0.13 until 1.8.0,     authlib.common.security.is_secure_transport() uses a textual prefix comparison for loopback HTTP     exemptions, so a URL whose userinfo begins with a loopback host can be accepted even when its parsed host     is an external non-loopback system. An external party able to supply a URL to OIDC RP-Initiated Logout     registration, authorization-server metadata validation, or another call site can bypass the TLS-required     guard and cause cleartext redirection or acceptance of cleartext endpoints. The issue does not bypass     redirect URI exact matching and does not by itself forge tokens or authenticate users. The vulnerable     authlib.common.security.is_secure_transport() implementation in authlib/common/security.py misinterprets     the userinfo component before OIDC RP-Initiated Logout dynamic client registration and other consumers     enforce transport security. This issue is fixed in version 1.8.0. (CVE-2026-114614)

Note that Nessus relies on the presence of the package as reported by the vendor.

ID	Name	Product	Family	Published	Updated	Severity
477858	Chainguard: multiple open-webui packages: security update to 0.12.3-r11	Tenable Cloud Security	Chainguard Local Security Checks	10/29/2026	11/2/2026	low
477858	Chainguard: multiple open-webui packages: security update to 0.12.3-r11	Tenable Self-Hosted Container Security	Chainguard Local Security Checks	10/29/2026	11/2/2026	low
477610	SCA: security update for authlib (GHSA-jj7h-c3hg-m23x)	Tenable Self-Hosted Container Security	SCA Checks	10/27/2026	11/2/2026	low
477610	SCA: security update for authlib (GHSA-jj7h-c3hg-m23x)	Tenable Cloud Security	SCA Checks	10/27/2026	11/2/2026	low
371301	Linux Distros 未修补的漏洞：CVE-2026-114614	Nessus	Misc.	10/23/2026	11/2/2026	low
371301	Linux Distros 未修補弱點：CVE-2026-114614	Nessus	Misc.	10/23/2026	11/2/2026	low
371301	Linux Distros のパッチ未適用の脆弱性: CVE-2026-114614	Nessus	Misc.	10/23/2026	11/2/2026	low
371301	Linux Distros Unpatched Vulnerability : CVE-2026-114614	Nessus	Misc.	10/23/2026	11/2/2026	low

Detections

Analytics

Plugins Search

low

low

low

low

low

low

low

low