CVE-2021-43818
Yüksek
Açıklama
lxml, Python dilinde XML ve HTML işlemek için kullanılan bir kütüphanedir. Versiyon 4.6.5 öncesinde, lxml.html içerisindeki HTML Cleaner, belirli şekilde hazırlanmış betik içeriğinin yanı sıra veri URI'leri kullanılarak gömülen SVG dosyalarındaki betik içeriğinin geçmesine izin vermektedir. HTML temizleyiciyi güvenlik açısından kritik bir bağlamda kullanan kullanıcılar, yamayı almak için lxml 4.6.5 sürümüne yükseltmelidir. Bilinen herhangi bir geçici çözüm bulunmamaktadır.
ÖnemYüksek
CVSS8.2
İstismar olasılığı—
Ürün
Lxml
Yayın13 Ara 2021
İlk görülme13 Ara 2021
Zayıflık türüCWE-74EnjeksiyonCWE-79Siteler arası betik (XSS)
Nasıl düzeltilir
Güncelleyin
- lxml lxml4.6.5 ya da sonraki bir sürüm
- lxml4.6.5 ya da sonraki bir sürüm
Üretici duyuruları
- lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/ZQ4SPKJX3RRJK4UWA6FXCRHD2TVRQI44/
- lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/WZGNET2A4WGLSUXLBFYKNC5PXHQMI3I7/
- debian.org/security/2022/dsa-5043
- lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/TUIS2KE3HZ2AAQKXFLTJFZPP2IFHJTC7/
- lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/V2XMOM5PFT6U5AAXY6EFNT5JZCKKHK2V/
- security.gentoo.org/glsa/202208-06
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| lxml lxml | v < 4.6.5 | 4.6.5 |
| fedoraproject fedora | 34, 35 | — |
| debian debian_linux | 9.0, 10.0, 11.0 | — |
| netapp solidfire | Aralık belirtilmemiş | — |
| netapp solidfire_enterprise_sds | Aralık belirtilmemiş | — |
| netapp hci_storage_node_firmware | Aralık belirtilmemiş | — |
| oracle communications_cloud_native_core_binding_support_function | 22.1.3 | — |
| oracle communications_cloud_native_core_network_exposure_function | 22.1.1 | — |
| oracle communications_cloud_native_core_policy | 22.2.0 | — |
| oracle http_server | 12.2.1.3.0, 12.2.1.4.0 | — |
| oracle zfs_storage_appliance_kit | 8.8 | — |
| lxmlPyPI | v < 4.6.5 | 4.6.5 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Intelligence 360 paketinde
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.