CVE-2024-34064

Zusammenfassung

Jinja ist eine erweiterbare Template-Engine. Der `xmlattr`-Filter in betroffenen Jinja-Versionen akzeptiert Schlüssel, die Nicht-Attribut-Zeichen enthalten. XML/HTML-Attribute dürfen keine Leerzeichen, `/`, `>` oder `=` enthalten, da jedes dieser Zeichen als Beginn eines separaten Attributs interpretiert würde. Wenn eine Anwendung Schlüssel (im Gegensatz zu nur Werten) als Benutzereingabe akzeptiert und diese in Seiten rendert, die auch andere Benutzer sehen, könnte ein Angreifer dies nutzen, um andere Attribute einzuschleusen und XSS auszuführen. Der Fix für CVE-2024-22195 behandelte nur Leerzeichen, nicht aber andere Zeichen. Die Annahme von Schlüsseln als Benutzereingabe wird nun ausdrücklich als unbeabsichtigter Anwendungsfall des `xmlattr`-Filters betrachtet, und Code, der dies tut, ohne die Eingabe anderweitig zu validieren, sollte unabhängig von der Jinja-Version als unsicher eingestuft werden. Die Annahme von _Werten_ als Benutzereingabe bleibt sicher. Diese Schwachstelle ist in 3.1.4 behoben.

• flask-vuln-baselinePoC

  Demonstriert CVE-2024-34064 in einer Flask-Anwendung ohne Sanitisierung und dient als Ausgangsbasis für Sicherheitstests und pädagogische Analysen.

• flask-vuln-v5PoC

  CVE-2024-34064 Demo - v5 Regex fehlender End-Anker