There are packages installed that are affected by a vulnerability referenced in the following CVE:

  - python-engineio is a Python implementation of the Engine.IO realtime client and server. Versions prior to
    4.13.2 have two specific configurations of the python-engineio server in which the size of incoming
    messages is not checked before the messages are loaded into memory. An attacker can take advantage of
    these to cause unnecessary memory allocations in the python-engineio server. The two cases are POST
    requests, when using ASGI with the long polling transport and WebSocket messages, when using Aiohttp with
    the WebSocket transport. Version 4.13.2 addresses this issue. ASGI severs now only load the body of
    incoming requests into memory after the client is confirmed to be known and authenticated, and the payload
    size is below the maximum allowed size. Requests that do not comply with these requirements are discarded.
    Aiohttp servers configure the maximum payload size in the underlying WebSocket layer from Aiohttp, so that
    large messages are discarded by Aiohttp before they are delivered to python-engineio. (CVE-2026-48809)

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - python-engineio 是 Engine.IO 实时客户端和服务器的 Python 实现。之前 4.13.2 的版本有两个特定的 python-engineio 服务器配置，其中在将消息加载到内存之前未检查传入消息的大小。攻击者可利用这些漏洞在 python-engineio 服务器中造成不必要的内存分配。当将 ASGI 与长轮询传输一起使用时，这两种情况分别为 POST 请求，以及将 Aiohttp 与 WebSocket 传输一起使用时的 WebSocket 消息。版本 4.13.2 解决了此问题。现在，ASGI 服务器仅在确认客户端已知并经过认证，且负载大小小于最大允许大小时，才将传入请求的正文加载到内存中。不符合这些要求的请求将被丢弃。
    Aiohttp 服务器配置来自 Aiohttp 的底层 WebSocket 层中的最大负载大小，以便 Aiohttp 在将大型消息传递到 python-engineio 之前对其进行丢弃。（CVE-2026-48809）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且廠商未提供可用的修補程式。

  - python-engineio 是 Engine.IO 即時用戶端和伺服器的 Python 實作。之前 4.13.2 的版本有兩個特定的 python-engineio 伺服器配置，其中在將訊息載入記憶體之前不會檢查傳入訊息的大小。攻擊者可以利用這些漏洞在 python-engineio 伺服器中造成不必要的記憶體配置。這兩種情況是 POST 要求，當搭配長輪詢傳輸和 WebSocket 訊息使用 ASGI 時，搭配 WebSocket 傳輸使用 Aiohttp 時。版本解決 4.13.2 了此問題。ASGI 伺服器現在只會在確認用戶端已知並經過驗證，且承載大小低於允許的大小上限後，才會將傳入要求的內文載入記憶體。不符合這些要求的要求會遭到捨棄。
    Aiohttp 伺服器會從 Aiohttp 在基礎 WebSocket 層中設定最大承載大小，以便 Aiohttp 在將大型訊息傳遞至 python-engineio 之前捨棄它們。（CVE-2026-48809）

請注意，Nessus 的判定取決於廠商所報告的套件是否存在。

リモートの openSUSE 16 ホストに、複数の脆弱性の影響を受けているパッケージがインストールされています。これらの脆弱性は openSUSE-SU-2026:21182-1 アドバイザリで言及されています。

    python-python-engineio の変更点:

    - CVE-2026-48802:リモートユーザーが、ハートビートメカニズムを通じてサーバーで不要なバックグラウンドスレッドの作成を引き起こし、DoS(bsc#1269544)を引き起こす可能性があります
    - CVE-2026-48809:受信メッセージのサイズが、メモリにロードされる前にチェックされないため、リモートユーザーが過剰なメモリ割り当てを介して DoS を引き起こす可能性があります(bsc#1269545)

Tenable は、前述の記述ブロックを SUSE セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートの SUSE Linux SLED15 / SLED_SAP15 / SLES15 / SLES_SAP15 ホストには、SUSE-SU-2026:3085-1 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    - CVE-2026-48802:リモートユーザーが、ハートビートメカニズムを通じてサーバーで不要なバックグラウンドスレッドの作成を引き起こし、DoS(bsc#1269544)を引き起こす可能性があります。
    - CVE-2026-48809:メモリにロードされる前に、受信メッセージのサイズがチェックされないため、リモートユーザーが過剰なメモリ割り当て(bsc#1269545)を介して DoS を引き起こす可能性があります。

Tenable は、前述の記述ブロックを SUSE セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - python-engineio は、Engine.IO リアルタイムクライアントおよびサーバーの Python 実装です。4.13.2 より前のバージョンには、python-engineio サーバーの 2 つの固有の構成があり、メッセージがメモリにロードされる前に、受信メッセージのサイズがチェックされません。攻撃者がこれらを利用して、python-engineio サーバーで不要なメモリ割り当てを引き起こす可能性があります。2つのケースは、ロングポーリングトランスポートでASGIを使用する場合のPOSTリクエストと、WebSocketトランスポートでAiohttpを使用する場合のWebSocketメッセージです。バージョン 4.13.2 は、この問題に対処しています。ASGI サーバーは、クライアントが既知であり、認証されていることが確認され、ペイロードサイズが許容可能の最大サイズを下回った後にのみ、受信リクエストの本文をメモリにロードするようになりました。これらの要件に準拠していないリクエストは破棄されます。
    Aiohttp サーバーは、Aiohttp からの下層 WebSocket レイヤーの最大ペイロードサイズを構成し、大きなメッセージが python-engineio に配信される前に Aiohttp によって破棄されるようにします。(CVE-2026-48809)

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

The remote openSUSE 16 host has a package installed that is affected by multiple vulnerabilities as referenced in the openSUSE-SU-2026:21182-1 advisory.

    Changes in python-python-engineio:

    - CVE-2026-48802: remote user can cause the creation of unnecessary       background threads in the server through the heartbeat mechanism       and cause a DoS (bsc#1269544)
    - CVE-2026-48809: size of incoming messages is not checked before       they are loaded into memory and allows remote users to cause a DoS       via excessive memory allocation (bsc#1269545)

Tenable has extracted the preceding description block directly from the SUSE security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

The remote SUSE Linux SLED15 / SLED_SAP15 / SLES15 / SLES_SAP15 host has a package installed that is affected by multiple vulnerabilities as referenced in the SUSE-SU-2026:3085-1 advisory.

    - CVE-2026-48802: remote user can cause the creation of unnecessary background       threads in the server through the heartbeat mechanism and cause a DoS       (bsc#1269544).
    - CVE-2026-48809: size of incoming messages is not checked before they are loaded       into memory and allows remote users to cause a DoS via excessive memory allocation       (bsc#1269545).

Tenable has extracted the preceding description block directly from the SUSE security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

The Linux/Unix host has one or more packages installed that are impacted by a vulnerability without a vendor supplied patch available.

  - python-engineio is a Python implementation of the Engine.IO realtime client and server. Versions prior to     4.13.2 have two specific configurations of the python-engineio server in which the size of incoming     messages is not checked before the messages are loaded into memory. An attacker can take advantage of     these to cause unnecessary memory allocations in the python-engineio server. The two cases are POST     requests, when using ASGI with the long polling transport and WebSocket messages, when using Aiohttp with     the WebSocket transport. Version 4.13.2 addresses this issue. ASGI severs now only load the body of     incoming requests into memory after the client is confirmed to be known and authenticated, and the payload     size is below the maximum allowed size. Requests that do not comply with these requirements are discarded.
    Aiohttp servers configure the maximum payload size in the underlying WebSocket layer from Aiohttp, so that     large messages are discarded by Aiohttp before they are delivered to python-engineio. (CVE-2026-48809)

Note that Nessus relies on the presence of the package as reported by the vendor.

ID	Name	Product	Family	Published	Updated	Severity
444085	SCA: security update for python-engineio (GHSA-m9gh-vj53-gvh9)	Tenable Self-Hosted Container Security	SCA Checks	6/27/2026	8/12/2026	high
444085	SCA: security update for python-engineio (GHSA-m9gh-vj53-gvh9)	Tenable Cloud Security	SCA Checks	6/27/2026	8/12/2026	high
335280	Linux Distros 未修补的漏洞：CVE-2026-48809	Nessus	Misc.	8/13/2026	9/3/2026	high
335280	Linux Distros 未修補弱點：CVE-2026-48809	Nessus	Misc.	8/13/2026	9/3/2026	high
324887	openSUSE 16 セキュリティ更新:python-python-engineio(openSUSE-SU-2026:21182-1)	Nessus	SuSE Local Security Checks	7/2/2026	7/2/2026	high
327736	SUSE SLED15 / SLES15 セキュリティ更新:python-python-engineio(SUSE-SU-2026:3085-1)	Nessus	SuSE Local Security Checks	7/18/2026	7/18/2026	high
335280	Linux Distros のパッチ未適用の脆弱性: CVE-2026-48809	Nessus	Misc.	8/13/2026	9/3/2026	high
324887	openSUSE 16 Security Update : python-python-engineio (openSUSE-SU-2026:21182-1)	Nessus	SuSE Local Security Checks	7/2/2026	7/2/2026	high
327736	SUSE SLED15 / SLES15 Security Update : python-python-engineio (SUSE-SU-2026:3085-1)	Nessus	SuSE Local Security Checks	7/18/2026	7/18/2026	high
335280	Linux Distros Unpatched Vulnerability : CVE-2026-48809	Nessus	Misc.	8/13/2026	9/3/2026	high

Detections

Analytics

Plugins Search

high

high

high

high

high

high

high

high

high

high