PT-2021-3336 · Bleach+4 · Bleach+4

Michał Bentkowski + 1 · Publicado 2021-02-02 · Atualizado 2026-03-05 · CVE-2021-23980

Positive Technologies (AI Summary) · Pt

CVSS v4.0

6.9

Média

Vetor base

AV:N/AC:L/AT:N/PR:N/UI:N/VC:N/VI:N/VA:N/SC:L/SI:L/SA:N

Nome do software vulnerável e versões afetadas

Versões do Bleach anteriores à 3.3.0

Descrição

Um ataque XSS de mutação afeta usuários que chamam bleach.clean com tags permitidas específicas e o argumento de palavra-chave strip comments=False. Essa vulnerabilidade pode permitir que um invasor remoto comprometa a confidencialidade e a integridade das informações protegidas. As tags afetadas incluem svg, math, p, br, style, title, noscript, script, textarea, noframes, iframe ou xmp. Observe que nenhuma dessas tags está entre as tags permitidas por padrão e que strip comments tem o valor padrão True.

Recomendações

Para resolver o problema, os usuários são incentivados a atualizar para a versão 3.3.0 ou superior do Bleach. Como solução alternativa temporária, modifique as chamadas bleach.clean para pelo menos uma das seguintes opções:

• não permitir as tags style, title, noscript, script, textarea, noframes, iframe ou xmp
• não permitir as tags svg ou math
• não permitir as tags p ou br
• definir strip comments=True

Além disso, uma Política de Segurança de Conteúdo (Content-Security-Policy) robusta, sem unsafe-inline e unsafe-eval em script-src, também ajudará a mitigar o risco.

Exploit

Correção

XSS

Enumeração de Fraquezas

CWE-79

Identificadores relacionados

BDU:2021-03144

CVE-2021-23980

DLA-2620-1

DSA-4892-1

GHSA-VV2X-VRPJ-QQPQ

MGASA-2021-0260

OESA-2022-1861

OPENSUSE-SU-2021:0552-1

OPENSUSE-SU-2021:0571-1

OPENSUSE-SU-2021_0552-1

OPENSUSE-SU-2024:11219-1

OPENSUSE-SU-2024:14134-1

PYSEC-2021-865

RHSA-2021:0781

USN-8077-1

Produtos afetados

Astra Linux

Bleach

Linuxmint

Suse

Ubuntu

Referências · 55

• 🔥 https://bugzilla.mozilla.org/show_bug.cgi?id=CVE-2021-23980 · Exploit
• https://github.com/mozilla/bleach/security/advisories/GHSA-vv2x-vrpj-qqpq · Aviso do Fabricante
• https://github.com/mozilla/bleach/commit/79b7a3c5e56a09d1d323a5006afa59b56162eb13 · Nota
• https://github.com/mozilla/bleach · Nota
• https://github.com/mozilla/bleach/blob/79b7a3c5e56a09d1d323a5006afa59b56162eb13/CHANGES#L4 · Nota
• https://github.com/mozilla/bleach/commit/d398c89e54ced6b1039d3677689707456ba42dec · Nota
• https://github.com/pypa/advisory-database/tree/main/vulns/bleach/PYSEC-2021-865.yaml · Nota
• https://debian.org/security/2021/dsa-4892.en.html · Aviso do Fabricante
• https://ubuntu.com/security/CVE-2020-6802 · Aviso do Fabricante
• https://t.me/cibsecurity/58417 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2021-23980 · Nota de Segurança
• https://suse.com/security/cve/CVE-2021-23980 · Nota
• https://osv.dev/vulnerability/CVE-2021-23980 · Aviso do Fabricante
• https://access.redhat.com/security/cve/cve-2021-23980 · Nota
• https://bugzilla.suse.com/1168280 · Nota