远程 Debian 9 主机上安装的一个程序包受到 dla-3049 公告中提及的多个漏洞影响。

  - 在 2.1.36 之前版本的 GNU Mailman 中，Cgi/options.py 用户选项页面的特制 URL 可针对 XSS 执行任意 JavaScript。(CVE-2021-43331)

  - 在 2.1.36 之前版本的 GNU Mailman 中，Cgi/admindb.py admindb 页面的 CSRF 标记包含列表管理员密码的加密版本。版主可能会发动离线暴力破解密码攻击来破解此加密版本。 (CVE-2021-43332)

  - 在 2.1.38 之前版本的 GNU Mailman 中，列表成员或版主可获得 CSRF 标记并制作管理员请求（使用该标记）以设置新的管理员密码或进行其他更改。(CVE-2021-44227)

请注意，Nessus 尚未测试这些问题，而是只依靠应用程序自我报告的版本号来判断。

Debian DLA-3049-1：mailman - LTS 安全更新

high Nessus 插件 ID 161990

未找到家属