There are packages installed that are affected by a vulnerability referenced in the following CVE:

  - cbor2 provides encoding and decoding for the Concise Binary Object Representation (CBOR) serialization
    format. Versions prior to 5.9.0 are vulnerable to a Denial of Service (DoS) attack caused by uncontrolled
    recursion when decoding deeply nested CBOR structures. This vulnerability affects both the pure Python
    implementation and the C extension `_cbor2`. The C extension relies on Python's internal recursion limits
    `Py_EnterRecursiveCall` rather than a data-driven depth limit, meaning it still raises `RecursionError`
    and crashes the worker process when the limit is hit. While the library handles moderate nesting levels,
    it lacks a hard depth limit. An attacker can supply a crafted CBOR payload containing approximately
    100,000 nested arrays `0x81`. When `cbor2.loads()` attempts to parse this, it hits the Python
    interpreter's maximum recursion depth or exhausts the stack, causing the process to crash with a
    `RecursionError`. Because the library does not enforce its own limits, it allows an external attacker to
    exhaust the host application's stack resource. In many web application servers (e.g., Gunicorn, Uvicorn)
    or task queues (Celery), an unhandled `RecursionError` terminates the worker process immediately. By
    sending a stream of these small (<100KB) malicious packets, an attacker can repeatedly crash worker
    processes, resulting in a complete Denial of Service for the application. Version 5.9.0 patches the issue.
    (CVE-2026-26209)

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且供應商未提供可用的修補程式。

  - cbor2 提供精簡二進位物件表示 (CBOR) 序列化格式的編碼和解碼。 5.9.0 之前的版本容易遭受拒絕服務 (DoS) 攻擊這是因為在解碼深度巢狀 CBOR 結構時發生不受控制的遞回所導致。此弱點會影響純 Python 實作和 C 延伸模組「_cbor2」。C 延伸模組依賴 Python 的內部遞回限制「Py_EnterRecursiveCall」而非資料驅動的深度限制這表示當達到限制時它仍會引發「RecursionError」並使背景工作處理程序損毀。程式庫處理中等巢狀層級時缺少硬性深度限制。攻擊者可提供包含大約 100,000 個巢狀陣列「0x81」的特製 CBOR 承載。當 `cbor2.loads()` 嘗試剖析此項目時會達到 Python 解譯器的最大遞回深度或耗盡堆疊導致處理程序因 `RecursionError` 而損毀。由於程式庫不會強制執行其自身的限制因此允許外部攻擊者耗盡主機應用程式的堆疊資源。在許多 Web 應用程式伺服器 (例如Gunicorn、Uvicorn) 或工作佇列 (Celery) 中未處理的「RecursionError」會立即終止背景工作處理程序。藉由傳送這些小 (<100KB) 惡意封包的資料流攻擊者可重複損毀背景工作處理程序進而導致應用程式完全拒絕服務。 5.9.0 版修補此問題。
    (CVE-2026-26209)

請注意，Nessus 依賴供應商報告的套件存在。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - cbor2 为简明二进制对象表示 (CBOR) 序列化格式提供编码和解码。 5.9.0 之前的版本容易遭受拒绝服务 (DoS) 攻击这是因为在解码深度嵌套的 CBOR 结构时不受控制的递归所导致。此漏洞会同时影响 pure Python 实现和 C 扩展“_cbor2”。C 扩展依赖 Python 的内部递归限制“Py_EnterRecursiveCall”而不是数据驱动的深度限制这意味着它在达到限制时仍会引发“RecursionError”并使工作线程进程崩溃。虽然 库可以处理中等嵌套级别，但它缺少硬性深度限制。攻击者可提供包含约 100,000 个嵌套数组“0x81”的特制 CBOR 负载。当“cbor2.loads()”尝试解析此错误时会达到 Python 解释器的最大递归深度或耗尽堆栈从而导致进程崩溃并出现“RecursionError”错误。由于库未强制执行其自身的限制因此外部攻击者可利用此缺陷耗尽主机应用程序的堆栈资源。在许多 Web 应用程序服务器 (如 Gunicorn、Uvicorn) 或任务队列 (Celery) 中未处理的 `RecursionError` 会立即终止工作进程。通过发送一系列这些小型 (<100KB) 恶意数据包攻击者可以反复使工作进程崩溃从而导致应用程序完全拒绝服务。版本 5.9.0 修补了问题。
    (CVE-2026-26209)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

リモートの openSUSE 16 ホストに、複数の脆弱性の影響を受けているパッケージがインストールされています。これらの脆弱性は openSUSE-SU-2026:20468-1 アドバイザリで言及されています。

    - CVE-2025-68131信頼境界を越える CBORDecoder の再利用により、攻撃者が制御するメッセージを介して、以前のデコード呼び出しから共有可能な値が漏洩する可能性がありますbsc#1255783。
    - CVE-2026-26209細工された CBOR ペイロードによるコントロールされていない再帰により、サービス拒否が引き起こされる可能性がありますbsc#1260367。

Tenable は、前述の記述ブロックを SUSE セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - cbor2 は、Concise Binary Object RepresentationCBORシリアル化フォーマットのエンコーディングおよびデコードを提供します。 5.9.0 より前のバージョンは、深くネスト化された CBOR 構造体をデコードする際に、制御されない再帰によって引き起こされるサービス拒否DoS攻撃に脆弱です。この脆弱性は、純粋な Python 実装および C 拡張「_cbor2」の両方に影響を与えます。C 拡張は、データ駆動深度制限ではなく、Python の内部再帰制限「Py_EnterRecursiveCall」に依存しています。つまり、制限に達すると「RecursionError」を発生させ、ワーカープロセスをクラッシュします。このライブラリは中程度のネストレベルは処理しますが、深度の制限がありません。攻撃者は、約 100,000 個のネスト化された配列「0x81」を含む細工された CBOR ペイロードを用意することができます。「cbor2.loads()」がこれを解析しようとするとき、Python インタープリターの最大再帰深度に達するか、スタックを消費し、プロセスを「RecursionError」でクラッシュさせます。ライブラリが独自の制限を強制しないため、外部の攻撃者がホストアプリケーションのスタックリソースを枯渇させる可能性があります。多くの Web アプリケーションサーバー (Gunicorn、Uvicorn など) またはタスクキュー (Celery) では、処理されない「RecursionError」がワーカープロセスを直ちに終了させます。攻撃者がこれらの小さな (100KB 未満) の悪意のあるパケットのストリームを送信することにより、攻撃者がワーカープロセスを繰り返しクラッシュさせ、アプリケーションの完全なサービス拒否を引き起こす可能性があります。バージョン 5.9.0 は、この問題にパッチを適用します。
    (CVE-2026-26209)

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

The remote openSUSE 16 host has a package installed that is affected by multiple vulnerabilities as referenced in the openSUSE-SU-2026:20468-1 advisory.

    - CVE-2025-68131: CBORDecoder reuse across trust boundaries can lead to leak of shareable values from     previous decode       calls via attacker-controlled messages (bsc#1255783).
    - CVE-2026-26209: uncontrolled recursion via crafted CBOR payloads can cause a denial of service     (bsc#1260367).

Tenable has extracted the preceding description block directly from the SUSE security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

The Linux/Unix host has one or more packages installed that are impacted by a vulnerability without a vendor supplied patch available.

  - cbor2 provides encoding and decoding for the Concise Binary Object Representation (CBOR) serialization     format. Versions prior to 5.9.0 are vulnerable to a Denial of Service (DoS) attack caused by uncontrolled     recursion when decoding deeply nested CBOR structures. This vulnerability affects both the pure Python     implementation and the C extension `_cbor2`. The C extension relies on Python's internal recursion limits     `Py_EnterRecursiveCall` rather than a data-driven depth limit, meaning it still raises `RecursionError`     and crashes the worker process when the limit is hit. While the library handles moderate nesting levels,     it lacks a hard depth limit. An attacker can supply a crafted CBOR payload containing approximately     100,000 nested arrays `0x81`. When `cbor2.loads()` attempts to parse this, it hits the Python     interpreter's maximum recursion depth or exhausts the stack, causing the process to crash with a     `RecursionError`. Because the library does not enforce its own limits, it allows an external attacker to     exhaust the host application's stack resource. In many web application servers (e.g., Gunicorn, Uvicorn)     or task queues (Celery), an unhandled `RecursionError` terminates the worker process immediately. By     sending a stream of these small (<100KB) malicious packets, an attacker can repeatedly crash worker     processes, resulting in a complete Denial of Service for the application. Version 5.9.0 patches the issue.
    (CVE-2026-26209)

Note that Nessus relies on the presence of the package as reported by the vendor.

ID	Name	Product	Family	Published	Updated	Severity
439131	SCA: security update for cbor2 (GHSA-3c37-wwvx-h642)	Tenable Cloud Security	SCA Checks	3/24/2026	7/2/2026	high
439131	SCA: security update for cbor2 (GHSA-3c37-wwvx-h642)	Tenable Self-Hosted Container Security	SCA Checks	3/24/2026	7/2/2026	high
303649	Linux Distros 未修補的弱點：CVE-2026-26209	Nessus	Misc.	3/25/2026	11/6/2026	high
303649	Linux Distros 未修补的漏洞：CVE-2026-26209	Nessus	Misc.	3/25/2026	11/6/2026	high
305837	openSUSE 16 セキュリティ更新python-cbor2openSUSE-SU-2026:20468-1]	Nessus	SuSE Local Security Checks	4/10/2026	4/10/2026	medium
303649	Linux Distros のパッチ未適用の脆弱性: CVE-2026-26209	Nessus	Misc.	3/25/2026	11/6/2026	high
305837	openSUSE 16 Security Update : python-cbor2 (openSUSE-SU-2026:20468-1)	Nessus	SuSE Local Security Checks	4/10/2026	4/10/2026	medium
303649	Linux Distros Unpatched Vulnerability : CVE-2026-26209	Nessus	Misc.	3/25/2026	11/6/2026	high

Detections

Analytics

Plugins Search

high

high

high

high

medium

high

medium

high