CVE-2023-34461

PyBB açıq mənbəli elan lövhəsidir. PyBB elan lövhəsi serverinin əllə kod nəzərdən keçirilməsi zamanı istifadəçilərin hər hansı növ HTML teqi göndərə biləcəyi və həmin teqin işlədilə biləcəyi bir boşluğun aşkar edilmişdir. Məsələn, klient tərəfində JavaScript vasitəsilə kodu işə salmaq üçün ```<a href=javascript:alert (1)>xss</a>``` kimi zərərli bir `<a>` tekindən istifadə edilə bilərdi. Problem `5defd92` commit-i ilə düzəldilmişdir və istifadəçilərə yeniləmə etmək tövsiyə olunur. Hücumçuların bu boşluqdan istifadə etmək üçün paylaşım etmək hüququna malik olmaları lazımdır. Bu boşluq 0.1.0 versiyasında mövcuddur və istifadəçilərə 0.1.1 versiyasına yüksəltmə etmək tövsiyə olunur. Yeniləmə edə bilməyən istifadəçilər bu hücumun qarşısını almaq üçün aşağıdakı üsullardan istifadə edə bilərlər: paylaşım yaratma imkanının ləğv edilməsi, şablonlardakı "post.html" adlı Jinja2 şablonundan `|safe` teqinin silinməsi və ya paylaşım yaratma bölməsində linklərin əllə yoxlanılmasının əlavə edilməsi.