CVE-2024-34064

概要

Jinjaは拡張可能なテンプレートエンジンです。影響を受けるバージョンのJinjaにおける`xmlattr`フィルタは、属性として不適切な文字を含むキーを受け入れます。XML/HTML属性にはスペース、`/`、`>`、`=`を含めることはできません。これらが含まれると、それぞれが別の属性の始まりとして解釈されるためです。アプリケーションがキー（値だけでなく）をユーザー入力として受け入れ、それらを他のユーザーも閲覧するページにレンダリングする場合、攻撃者はこれを使用して他の属性を注入し、XSSを実行できる可能性があります。CVE-2024-22195の修正はスペースのみに対応し、他の文字には対応していませんでした。キーをユーザー入力として受け入れることは、現在では`xmlattr`フィルタの意図しない使用法として明示的に見なされており、入力値を他に検証せずにそのように行うコードは、Jinjaのバージョンに関係なく安全でないものとしてフラグ付けされるべきです。_値_をユーザー入力として受け入れることは引き続き安全です。この脆弱性は3.1.4で修正されています。

• flask-vuln-baselinePoC

  CVE-2024-34064を、サニタイズ処理を行わないFlaskアプリケーションで実証し、セキュリティテストと教育目的の分析のためのベースラインとして機能します。

• flask-vuln-v5PoC

  CVE-2024-34064 デモ - v5 regex の末尾アンカー欠落

• flask-vuln-v6PoC

  CVE-2024-34064 デモ - v6 サニタイゼーションが誤った変数に適用されています