リモートの SUSE Linux SLED15 / SLED_SAP15 / SLES15 / SLES_SAP15 / openSUSE 15 ホストには、SUSE-SU-2026:0849-1 のアドバイザリに記載されている脆弱性の影響を受けるパッケージがインストールされています。

    python-Flask用のこの更新プログラムでは、以下の問題が修正されています

    - CVE-2026-27205Flask セッションが「Vary: Cookie」ヘッダーを追加しないことによる情報漏洩bsc#1258700。

Tenable は、前述の記述ブロックを SUSE セキュリティアドバイザリから直接抽出しています。

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートの Ubuntu 20.04 LTS / 22.04 LTS / 24.04 LTS ホストには、USN-8104-1 のアドバイザリに記載された脆弱性の影響を受けるパッケージがインストールされています。

    Shuurya Jaiswal 氏は、Flask が特定の Web 応答をユーザー固有として正しくマークしないことを発見しました。リモートの攻撃者がこの問題を悪用して、秘密情報を取得する可能性があります。

Tenable は、前述の説明ブロックを Ubuntu セキュリティアドバイザリからすでに直接抽出しています。

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

したがって、ALAS2023-2026-1476 のアドバイザリに記載されている脆弱性の影響を受けます。

    Flask は、ウェブサーバーゲートウェイインターフェイスWSGIWeb アプリケーションフレームワークです。バージョン 3.1.2 以降では、セッションオブジェクトにアクセスするときに、Flask が Vary: Cookie ヘッダーを設定する必要があります。これにより、機密情報が含まれているキャッシュ使用の脆弱性が発生します。ログインユーザーに固有の情報が含まれている可能性があるため、ロジックは に、応答をキャッシュしないように指示します。ほとんどの場合、これは処理されますが、演算子の Python などの一部の形式のアクセスが見落とされていました。重要度とリスクは、クッキー付きの応答を無視しないキャッシングプロキシの背後でホストされているアプリケーション、ページをプライベートまたはキャッシュ不可としてマークするために Cache-Control ヘッダーを設定しない、および が通信するだけでセッションにアクセスできる方法に依存します。値を読み取ったりセッションを変化させたりすることなく、キーを生成します。この問題は、バージョン 3.1.3で修正されています。CVE-2026-27205

Tenable は、前述の記述ブロックをテスト済み製品のセキュリティアドバイザリから直接抽出しています。

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートホストにインストールされている IBM Cognos Analytics のバージョンは、12.0.4 FP3 より前の 12.0.4、または 12.1.3 FP2 より前の 12.1.x です。したがって、IBMセキュリティ報告書No.に記載されている複数の脆弱性の影響を受けます。
7287209:

  - 3.9.2 以前の NLTK バージョンは、StanfordSegmenter モジュールの入力検証が不適切なために、任意のコードの実行に脆弱です。このモジュールは、検証やサンドボックスを行わずに、外部Java.jarファイルを動的にロードします。攻撃者は、JAR ファイルを供給または置換することで、インポート時に任意の Java バイトコードを実行できるようになります。(CVE-2026-0848)

  - CVE-2021-23337 に対する lodash の修正は、_.template の変数 option に対する検証を追加しましたが、options.imports キー名に同じ検証は適用しませんでした。両方のパスは同じ Function() コンストラクターシンクにフローします。アプリケーションが信頼できない入力を options.imports のキー名として渡す場合、攻撃者はテンプレートのコンパイル時に任意コードを実行するデフォルトパラメーター式を注入する可能性があります。
    (CVE-2026-4800)

  - cryptography は、Python 開発者向けに暗号のプリミティブとレシピを公開するために設計されたパッケージです。
    45.0.0から46.0.7以前まで、Pythonバッファ(Hash.update()など)を受け入れるAPIに非連続バッファが渡されると、これがバッファオーバーフローを引き起こす可能性があります。(CVE-2026-39892)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - Flask は、Web サーバーゲートウェイインターフェイスWSGIWeb アプリケーションフレームワークです。バージョン 3.1.2 以降では、セッションオブジェクトにアクセスするときに、Flask が Vary: Cookie ヘッダーを設定する必要があります。これにより、機密情報が含まれているキャッシュ使用の脆弱性が発生します。ログインユーザーに固有の情報が含まれている可能性があるため、ロジックは に、応答をキャッシュしないように指示します。ほとんどの場合、これは処理されますが、演算子の Python などの一部の形式のアクセスが見落とされていました。重要度とリスクは、クッキー付きの応答を無視しないキャッシングプロキシの背後でホストされているアプリケーション、ページをプライベートまたはキャッシュ不可としてマークするために Cache-Control ヘッダーを設定しない、および が通信するだけでセッションにアクセスできる方法に依存します。値を読み取ったりセッションを変化させたりすることなく、キーを生成します。この問題は、バージョン 3.1.3で修正されています。CVE-2026-27205

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
301808	SUSE SLED15 / SLES15 /openSUSE 15 セキュリティ更新python-FlaskSUSE-SU-2026:0849-1]	Nessus	SuSE Local Security Checks	2026/3/11	2026/3/11	low
303031	Ubuntu 20.04 LTS / 22.04 LTS / 24.04 LTSFlask の脆弱性USN-8104-1	Nessus	Ubuntu Local Security Checks	2026/3/19	2026/3/19	low
304287	Amazon Linux 2023python3-flaskALAS2023-2026-1476	Nessus	Amazon Linux Local Security Checks	2026/3/30	2026/3/30	low
347960	IBM Cognos Analytics 12.0.4 < 12.0.4 FP3 / 12.1.x < 12.1.3 FP2 の複数の脆弱性 (7287209)	Nessus	CGI abuses	2026/9/18	2026/9/21	high
299724	Linux Distros のパッチ未適用の脆弱性: CVE-2026-27205	Nessus	Misc.	2026/2/21	2026/9/12	low

検出

プラグインの検索

low

low

low

high

low