CVE-2024-52595

lxml_html_clean, `lxml.html.clean` modulundan kopyalanmış HTML təmizləmə funksionallıqları üçün nəzərdə tutulmuş bir layihədir. Versiya 0.4.0-dan əvvəl lxml-dəki HTML Parser `<svg>`, `<math>` və `<noscript>` kimi xüsusi HTML teqləri üçün kontekst dəyişməsini düzgün idarə etmir. Bu davranış veb brauzerlərin həmin teqləri analiz etmə və şərh etmə tərzindən fərqlənir. Xüsusilə, CSS şərhlərindəki məzmun lxml_html_clean tərəfindən nəzərə alınmır, lakin veb brauzerlər tərəfindən fərqli şəkildə şərh edilə bilər ki, bu da zərərli skriptlərin təmizləmə prosesindən yan keçməsinə imkan verir. Bu boşluq saytlararası skriptinq (XSS) hücumlarına səbəb ola bilər və etibarsız HTML məzmununu təmizləmək üçün standart konfiqurasiyada lxml_html_clean-dən istifadə edən istifadəçilərin təhlükəsizliyini riskə ata bilər. Təhlükəsizlik baxımından kritik mühitlərdə HTML təmizləyicidən istifadə edən istifadəçilər, bu problemi aradan qaldıran lxml 0.4.0 versiyasına yüksəltmə etməlidirlər. Müvəqqəti tədbir olaraq, istifadəçilər bu boşluğun istismarının qarşısını almaq üçün lxml_html_clean-i aşağıdakı parametrlərlə konfiqurasiya edə bilərlər. `remove_tags` vasitəsilə silinəcək teqlər təyin edilə bilər - onların məzmunu valideyn teqlərinə köçürülür. `kill_tags` vasitəsilə tamamilə silinəcək teqlər təyin edilə bilər. `allow_tags` vasitəsilə isə icazə verilən teqlərin siyahısı məhdudlaşdırılaraq `<svg>`, `<math>` və `<noscript>` kimi kontekst dəyişən teqlər istisna edilə bilər.