CVE-2024-34064

Résumé

Jinja est un moteur de templating extensible. Le filtre `xmlattr` des versions affectées de Jinja accepte des clés contenant des caractères non autorisés dans les attributs. Les attributs XML/HTML ne peuvent pas contenir d'espaces, `/`, `>` ou `=`, car chacun de ces caractères serait alors interprété comme le début d'un attribut distinct. Si une application accepte des clés (par opposition aux seules valeurs) comme entrée utilisateur et les affiche dans des pages également visibles par d'autres utilisateurs, un attaquant pourrait les exploiter pour injecter d'autres attributs et réaliser une XSS. Le correctif de CVE-2024-22195 ne traitait que les espaces, mais pas les autres caractères. Accepter des clés comme entrée utilisateur est désormais explicitement considéré comme un cas d'utilisation non prévu du filtre `xmlattr`, et tout code qui le fait sans valider l'entrée par ailleurs doit être signalé comme non sécurisé, quelle que soit la version de Jinja. Accepter des _valeurs_ comme entrée utilisateur reste sûr. Cette vulnérabilité est corrigée dans la version 3.1.4.

• flask-vuln-baselinePoC

  Démontre la CVE-2024-34064 dans une application Flask sans assainissement, servant de référence pour les tests de sécurité et l'analyse pédagogique.

• flask-vuln-v5PoC

  CVE-2024-34064 demo - v5 regex : ancre de fin manquante