CVE-2024-34064

सारांश

Jinja एक extensible templating engine है। Jinja के प्रभावित संस्करणों में `xmlattr` फ़िल्टर ऐसी keys स्वीकार करता है जिनमें non-attribute वर्ण होते हैं। XML/HTML attributes में spaces, `/`, `>`, या `=` नहीं हो सकते, क्योंकि इनमें से प्रत्येक को एक अलग attribute की शुरुआत के रूप में व्याख्यायित किया जाएगा। यदि कोई एप्लिकेशन उपयोगकर्ता इनपुट के रूप में केवल values नहीं, बल्कि keys को भी स्वीकार करता है, और उन्हें ऐसे पृष्ठों पर render करता है जिन्हें अन्य उपयोगकर्ता भी देखते हैं, तो एक हमलावर इसका उपयोग अन्य attributes इंजेक्ट करने और XSS करने के लिए कर सकता है। CVE-2024-22195 के लिए फिक्स ने केवल spaces को संबोधित किया, परंतु अन्य वर्णों को नहीं। Keys को उपयोगकर्ता इनपुट के रूप में स्वीकार करना अब स्पष्ट रूप से `xmlattr` फ़िल्टर का अनपेक्षित उपयोग माना जाता है, और ऐसा करने वाले कोड को, जो अन्यथा इनपुट को validate नहीं करता, Jinja संस्करण की परवाह किए बिना असुरक्षित के रूप में चिह्नित किया जाना चाहिए। उपयोगकर्ता इनपुट के रूप में _मानों_ को स्वीकार करना सुरक्षित बना हुआ है। यह भेद्यता 3.1.4 में ठीक कर दी गई है।

• flask-vuln-baselinePoC

  CVE-2024-34064 को एक Flask एप्लिकेशन में प्रदर्शित करता है जिसमें सैनिटाइज़ेशन नहीं है, जो सुरक्षा परीक्षण और शैक्षिक विश्लेषण के लिए एक आधार रेखा के रूप में कार्य करता है।

• flask-vuln-v5PoC

  CVE-2024-34064 डेमो - v5 regex में अंतिम एंकर गायब