There are packages installed that are affected by a vulnerability referenced in the following CVE:

  - python-engineio is a Python implementation of the Engine.IO realtime client and server. Prior to version
    4.13.2, an attacker can cause the creation of unnecessary background threads in the python-engineio server
    by exploiting the heartbeat mechanism, which launches a thread when a new connection is received, and when
    the client sends a PONG packet. This issue primarily affects synchronous servers. Asynchronous servers
    allocate background tasks instead of physical threads, which are lightweight and less likely to cause
    denial of service. However, the fix that was implemented was also applied to the asynchronous case.
    Version 4.13.2 addresses this issue as follows: The initial background thread (or async task( for
    heartbeat management is only launched if a client passes authentication in the `connect` handler; and the
    server now ensures that there is only one background heatbeat thread (or async task) per client at a given
    point in time. Out of sequence PONG packets are now discarded when an active heartbeat thread is already
    running. (CVE-2026-48802)

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且廠商未提供可用的修補程式。

  - python-engineio 是 Engine.IO 即時用戶端和伺服器的 Python 實作。在版本之前 4.13.2，攻擊者可利用活動訊號機制，導致在 python-engineio 伺服器中建立不必要的背景執行緒，該機制會在收到新連線時以及用戶端傳送 PONG 封包時啟動執行緒。此問題主要影響同步伺服器。非同步伺服器配置背景任務而不是實體執行緒，實體執行緒是輕量級的，不太可能造成拒絕服務。不過，實作的修正程式也會套用至非同步案例。
    版本 4.13.2 解決此問題如下： 只有在用戶端通過「connect」處理常式中的驗證時，才會啟動初始背景執行緒 （或活動訊號管理的非同步工作） ;伺服器現在會確保在指定時間點每個用戶端只有一個背景熱訊號執行緒 （或非同步工作）。現在，當作用中的活動訊號執行緒已在執行時，會捨棄無序的 PONG 封包。（CVE-2026-48802）

請注意，Nessus 的判定取決於廠商所報告的套件是否存在。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - python-engineio 是 Engine.IO 实时客户端和服务器的 Python 实现。在低于该版本 4.13.2之前，攻击者可利用心跳信息机制（可在收到新连接时以及客户端发送 PONG 数据包时启动线程）造成在 python-engineio 服务器中创建不必要的后台线程。该问题主要影响同步服务器。异步服务器分配后台任务而不是物理线程，这轻量级且不太可能造成拒绝服务。但是，实现的修复也适用于异步情况。
    版本 4.13.2 解决此问题如下：仅当客户端在“connect”处理程序中通过身份验证时，才会启动初始后台线程（或用于心跳信息管理的异步任务）;且服务器现在确保在给定时间点，每个客户端只有一个后台热信号线程（或异步任务）。活动的心跳信息线程已经在运行时，现在会丢弃不按顺序的 PONG 数据包。（CVE-2026-48802）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

リモートの openSUSE 16 ホストに、複数の脆弱性の影響を受けているパッケージがインストールされています。これらの脆弱性は openSUSE-SU-2026:21182-1 アドバイザリで言及されています。

    python-python-engineio の変更点:

    - CVE-2026-48802:リモートユーザーが、ハートビートメカニズムを通じてサーバーで不要なバックグラウンドスレッドの作成を引き起こし、DoS(bsc#1269544)を引き起こす可能性があります
    - CVE-2026-48809:受信メッセージのサイズが、メモリにロードされる前にチェックされないため、リモートユーザーが過剰なメモリ割り当てを介して DoS を引き起こす可能性があります(bsc#1269545)

Tenable は、前述の記述ブロックを SUSE セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - python-engineio は、Engine.IO リアルタイムクライアントおよびサーバーの Python 実装です。バージョン 4.13.2 より前では、攻撃者は、ハートビートメカニズムを悪用することで、python-engineio サーバーに不要なバックグラウンドスレッドを作成する可能性があります。ハートビートメカニズムは、新しい接続が受信されたとき、そしてクライアントが PONG パケットを送信するときにスレッドを起動します。この問題は、主に同期サーバーに影響します。非同期サーバーは、物理スレッドの代わりにバックグラウンドタスクを割り当てます。これは軽量で、サービス拒否を引き起こす可能性が低くなります。ただし、実装された修正は、非同期のケースにも適用されました。
    バージョン 4.13.2 では、この問題に次のように対処しています:最初のバックグラウンドスレッド(またはハートビート管理の非同期タスク)は、クライアントが「接続」ハンドラーで認証に合格した場合にのみ起動されます。そしてサーバーは現在、特定の時点でクライアントあたりのバックグラウンドヒートビートスレッド(または非同期タスク)が 1 つだけであることを確認します。アクティブなハートビートスレッドが既に実行されている場合、順序を誤った PONG パケットが破棄されるようになりました。(CVE-2026-48802)

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

リモートの SUSE Linux SLED15 / SLED_SAP15 / SLES15 / SLES_SAP15 ホストには、SUSE-SU-2026:3085-1 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    - CVE-2026-48802:リモートユーザーが、ハートビートメカニズムを通じてサーバーで不要なバックグラウンドスレッドの作成を引き起こし、DoS(bsc#1269544)を引き起こす可能性があります。
    - CVE-2026-48809:メモリにロードされる前に、受信メッセージのサイズがチェックされないため、リモートユーザーが過剰なメモリ割り当て(bsc#1269545)を介して DoS を引き起こす可能性があります。

Tenable は、前述の記述ブロックを SUSE セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

The remote openSUSE 16 host has a package installed that is affected by multiple vulnerabilities as referenced in the openSUSE-SU-2026:21182-1 advisory.

    Changes in python-python-engineio:

    - CVE-2026-48802: remote user can cause the creation of unnecessary       background threads in the server through the heartbeat mechanism       and cause a DoS (bsc#1269544)
    - CVE-2026-48809: size of incoming messages is not checked before       they are loaded into memory and allows remote users to cause a DoS       via excessive memory allocation (bsc#1269545)

Tenable has extracted the preceding description block directly from the SUSE security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

The Linux/Unix host has one or more packages installed that are impacted by a vulnerability without a vendor supplied patch available.

  - python-engineio is a Python implementation of the Engine.IO realtime client and server. Prior to version     4.13.2, an attacker can cause the creation of unnecessary background threads in the python-engineio server     by exploiting the heartbeat mechanism, which launches a thread when a new connection is received, and when     the client sends a PONG packet. This issue primarily affects synchronous servers. Asynchronous servers     allocate background tasks instead of physical threads, which are lightweight and less likely to cause     denial of service. However, the fix that was implemented was also applied to the asynchronous case.
    Version 4.13.2 addresses this issue as follows: The initial background thread (or async task( for     heartbeat management is only launched if a client passes authentication in the `connect` handler; and the     server now ensures that there is only one background heatbeat thread (or async task) per client at a given     point in time. Out of sequence PONG packets are now discarded when an active heartbeat thread is already     running. (CVE-2026-48802)

Note that Nessus relies on the presence of the package as reported by the vendor.

The remote SUSE Linux SLED15 / SLED_SAP15 / SLES15 / SLES_SAP15 host has a package installed that is affected by multiple vulnerabilities as referenced in the SUSE-SU-2026:3085-1 advisory.

    - CVE-2026-48802: remote user can cause the creation of unnecessary background       threads in the server through the heartbeat mechanism and cause a DoS       (bsc#1269544).
    - CVE-2026-48809: size of incoming messages is not checked before they are loaded       into memory and allows remote users to cause a DoS via excessive memory allocation       (bsc#1269545).

Tenable has extracted the preceding description block directly from the SUSE security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

ID	名前	製品	ファミリー	公開日	更新日	深刻度
444077	SCA: security update for python-engineio (GHSA-cgwc-pv48-fhj5)	Tenable Cloud Security	SCA Checks	2026/6/27	2026/8/12	high
444077	SCA: security update for python-engineio (GHSA-cgwc-pv48-fhj5)	Tenable Self-Hosted Container Security	SCA Checks	2026/6/27	2026/8/12	high
335307	Linux Distros 未修補弱點：CVE-2026-48802	Nessus	Misc.	2026/8/13	2026/11/3	high
335307	Linux Distros 未修补的漏洞：CVE-2026-48802	Nessus	Misc.	2026/8/13	2026/11/3	high
324887	openSUSE 16 セキュリティ更新:python-python-engineio(openSUSE-SU-2026:21182-1)	Nessus	SuSE Local Security Checks	2026/7/2	2026/7/2	high
335307	Linux Distros のパッチ未適用の脆弱性: CVE-2026-48802	Nessus	Misc.	2026/8/13	2026/11/3	high
327736	SUSE SLED15 / SLES15 セキュリティ更新:python-python-engineio(SUSE-SU-2026:3085-1)	Nessus	SuSE Local Security Checks	2026/7/18	2026/7/18	high
324887	openSUSE 16 Security Update : python-python-engineio (openSUSE-SU-2026:21182-1)	Nessus	SuSE Local Security Checks	2026/7/2	2026/7/2	high
335307	Linux Distros Unpatched Vulnerability : CVE-2026-48802	Nessus	Misc.	2026/8/13	2026/11/3	high
327736	SUSE SLED15 / SLES15 Security Update : python-python-engineio (SUSE-SU-2026:3085-1)	Nessus	SuSE Local Security Checks	2026/7/18	2026/7/18	high

検出

プラグインの検索

high

high

high

high

high

high

high

high

high

high