PT-2024-35391 · Lxml+1 · Lxml+1

Jorianwoltjer · Publicado 2024-11-19 · Atualizado 2024-12-13 · CVE-2024-52595

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.7

Alta

Vetor base

AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:L/A:H

Nome do software vulnerável e versões afetadas

Versões do lxml html clean anteriores à 0.4.0

Descrição

O analisador HTML do lxml não lida adequadamente com a mudança de contexto para tags HTML especiais, como <svg>, <math> e <noscript>. Esse comportamento difere da forma como os navegadores da Web analisam e interpretam tais tags. Especificamente, o conteúdo dos comentários CSS é ignorado pelo lxml html clean, mas pode ser interpretado de forma diferente pelos navegadores da web, permitindo que scripts maliciosos contornem o processo de limpeza. Isso pode levar a ataques de Cross-Site Scripting (XSS), comprometendo a segurança dos usuários que dependem do lxml html clean na configuração padrão para sanitizar conteúdo HTML não confiável.

Recomendações

Para versões anteriores à 0.4.0, atualize para o lxml 0.4.0 para resolver este problema.

Como medida de mitigação temporária, configure o lxml html clean com as seguintes opções:

• Use remove tags para especificar as tags a serem removidas, movendo seu conteúdo para as tags pai.
• Use kill tags para especificar as tags a serem removidas completamente.
• Use allow tags para restringir o conjunto de tags permitidas, excluindo tags de troca de contexto como <svg>, <math> e <noscript>.

Exploit

Correção

XSS

Incomplete List of Disallowed Inputs

Enumeração de Fraquezas

CWE-83

CWE-79

CWE-184

Identificadores relacionados

CVE-2024-52595

GHSA-5JFW-GQ64-Q45F

PYSEC-2024-160

Produtos afetados

Lxml

Lxml Html Clean

Referências · 19

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2024/52xxx/CVE-2024-52595.json · Exploit
• https://github.com/pypa/advisory-database/tree/main/vulns/lxml-html-clean/PYSEC-2024-160.yaml · Nota
• https://github.com/fedora-python/lxml_html_clean · Nota
• https://github.com/fedora-python/lxml_html_clean/pull/19 · Correção
• https://github.com/fedora-python/lxml_html_clean/security/advisories/GHSA-5jfw-gq64-q45f · Aviso do Fabricante
• https://github.com/fedora-python/lxml_html_clean/commit/c5d816f86eb3707d72a8ecf5f3823e0daa1b3808 · Correção
• https://osv.dev/vulnerability/UBUNTU-CVE-2024-52595 · Aviso do Fabricante
• https://t.me/cvedetector/11533 · Publicação no Telegram
• https://cve.org/CVERecord?id=CVE-2024-52595 · Nota de Segurança
• https://osv.dev/vulnerability/DEBIAN-CVE-2024-52595 · Aviso do Fabricante
• https://osv.dev/vulnerability/GHSA-5jfw-gq64-q45f · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2024-52595 · Nota de Segurança
• https://ubuntu.com/security/CVE-2024-52595 · Aviso do Fabricante
• https://osv.dev/vulnerability/PYSEC-2024-160 · Aviso do Fabricante
• https://twitter.com/CVEnew/status/1859089466314420279 · Publicação no Twitter