CVE-2024-22195
Təsvir
Jinja genişləndirilə bilən şablon mühərrikidir. Şablondakı xüsusi yer tutucular Python sintaksisinə bənzər kodların yazılmasına imkan verir. Render edilmiş HTML şablonuna ixtiyari HTML atributlarının inyeksiya edilməsi mümkündür ki, bu da potensial olaraq saytlararası skriptinqə (XSS) səbəb ola bilər. Jinja `xmlattr` filtrindən ixtiyari HTML atribut açarlarını və dəyərlərini inyeksiya etmək üçün istifadə edilə bilər ki, bu da avtomatik qaçırma (auto escaping) mexanizmini yan keçərək potensial olaraq XSS-ə yol aça bilər. Əgər atribut validasiyası yoxlamaları qara siyahıya əsaslanırsa, onları da yan keçmək mümkün ola bilər.
Necə düzəltmək olar
- palletsprojects jinja3.1.3 və ya daha yeni versiya
- jinja23.1.3 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| palletsprojects jinja | v < 3.1.3 | 3.1.3 |
| jinja2PyPI | v < 3.1.3 | 3.1.3 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.