PT-2021-7288 · Jinja2+8 · Jinja2+8
Yeting Li
·
Publicado
2021-02-01
·
Atualizado
2025-09-29
·
CVE-2020-28493
CVSS v4.0
6.9
Média
| Vetor | AV:N/AC:L/AT:N/PR:N/UI:N/VC:N/VI:N/VA:L/SC:N/SI:N/SA:N |
Nome do software vulnerável e versões afetadas
Versões do jinja2 de 0.0.0 a 2.11.3
Descrição
O problema deve-se principalmente ao operador
punctuation re regex e ao uso de vários caracteres curinga, sendo o último o mais suscetível a exploração, pois procura por sinais de pontuação finais. Isso pode causar uma vulnerabilidade ReDoS, levando potencialmente a uma negação de serviço. A vulnerabilidade pode ser explorada por um invasor remoto. O problema também pode ser atribuído ao subpadrão [a-zA-Z0-9. -]+.[a-zA-Z0-9. -]+ na expressão regular.Recomendações
Para as versões 0.0.0 a 2.11.3 do jinja2, mitigue o problema usando Markdown para formatar o conteúdo do usuário em vez do filtro
urlize, ou implementando tempos limite para solicitações e limitando a memória do processo.Exploit
Correção
Resource Exhaustion
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Almalinux
Astra Linux
Centos
Linuxmint
Red Hat
Rocky Linux
Suse
Ubuntu
Jinja2