CVE-2026-44897
Təsvir
Mistune rendererlər və plaginləri olan Python Markdown parseridir. 3.2.1 versiyasından əvvəl HTMLRenderer.heading() funksiyası açılış <hN> teqini id atributunun dəyərini birbaşa HTML-ə sətir birləşdirmə yolu ilə qurur — burada escape(), safe_entity() və ya hər hansı digər təmizləmə (sanitisation) funksiyasına müraciət edilmir. id dəyərindəki dırnaq işarəsi (") atributu sonlandıraraq hücumçuya başlıq elementinə ixtiyari əlavə atributlar (hadisə idarəediciləri, src=, href= və s.) yerləşdirməyə imkan verir. Bu zəiflik 3.2.1 versiyasında aradan qaldırılmışdır.
Necə düzəltmək olar
- mistune_project mistune3.2.1 və ya daha yeni versiya
- mistune3.2.1 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| mistune_project mistune | v < 3.2.1 | 3.2.1 |
| mistunePyPI | v < 3.2.1 | 3.2.1 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.