Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - ormar は Python 用の async ミニ ORM です。バージョン 0.23.0 以降は、モデルコンストラクターを通じた Pydantic 検証バイパスに脆弱であるため、認証されていないユーザーが、__pk_only__: true を JSON リクエスト本文に注入することで、すべてのフィールド検証をスキップすることができます。__pk_only__: true を JSON リクエスト本文に注入することで、認証されていない攻撃者がすべてのフィールド検証をスキップし、検証されていないデータを直接データベースに保持することができます。セカンダリ __excluded__ パラメーターインジェクションは、同じパターンを使用して、構築中に任意のモデルフィールド (メールやロールなど) を選択的に null 化します。これは、公式ドキュメントで推奨されている ormar の正規の FastAPI 統合パターンに影響を与え、ormar.Model をリクエスト本体パラメーターとして直接使用するアプリケーションで権限昇格、データ整合性違反、ビジネスロジックのバイパスを引き起こす可能性があります。この問題はバージョン 0.23.1で修正されています。(CVE-2026-27953)

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

検出

Linux Distros のパッチ未適用の脆弱性: CVE-2026-27953

high Nessus プラグイン ID 303256

バージョン 1.2