CVE-2024-22195

ŚrednieCVSS 5.4

Opublikowano: 11/01/2024(UTC)Zaktualizowano: 17/06/2026(UTC)Przetłumaczono: 30/10/2026(UTC)NVD NIST

Streszczenie

Jinja to rozszerzalny silnik szablonów. Możliwe jest wstrzyknięcie dowolnych atrybutów HTML do renderowanego szablonu HTML poprzez filtr xmlattr, omijając mechanizm automatycznego escapowania, co może prowadzić do Cross-Site Scripting (XSS). Może być również możliwe obejście walidacji atrybutów opartej na czarnej liście.

Ocena ryzyka

Naruszenie poufności i integralności — atakujący może wykonać złośliwy skrypt w przeglądarce użytkownika, przechwycić sesję lub dane. Może to dotknąć użytkowników aplikacji korzystającej z Jinja.

Rekomendacja

Zaktualizuj bibliotekę Jinja do wersji zawierającej poprawkę. Unikaj używania filtra xmlattr z niezaufanymi danymi wejściowymi.

Inne podatności w Jinja

CVE-2024-34064Średnie
Filtr xmlattr w Jinja akceptuje klucze zawierające znaki niedozwolone w atrybutach XML/HTML, takie jak spacje, /, > czy =. Jeśli aplikacja przyjmuje klucze od użytkownika i renderuje je na stronach widocznych dla innych, atakujący może wstrzyknąć dodatkowe atrybuty i przeprowadzić atak XSS.

Oryginalny opis (angielski, źródło NVD)

Jinja is an extensible templating engine. Special placeholders in the template allow writing code similar to Python syntax. It is possible to inject arbitrary HTML attributes into the rendered HTML template, potentially leading to Cross-Site Scripting (XSS). The Jinja `xmlattr` filter can be abused to inject arbitrary HTML attribute keys and values, bypassing the auto escaping mechanism and potentially leading to XSS. It may also be possible to bypass attribute validation checks if they are blacklist-based.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS