CVE-2024-34064

요약

Jinja는 확장 가능한 템플릿 엔진입니다. 영향을 받는 Jinja 버전의 `xmlattr` 필터는 비속성 문자를 포함한 키를 허용합니다. XML/HTML 속성에는 공백, `/`, `>`, 또는 `=`를 포함할 수 없습니다. 각각은 별도의 속성이 시작되는 것으로 해석되기 때문입니다. 애플리케이션이 (값뿐만 아니라) 키를 사용자 입력으로 받아들이고, 이를 다른 사용자도 볼 수 있는 페이지에 렌더링한다면, 공격자는 이를 이용해 다른 속성을 삽입하고 XSS를 수행할 수 있습니다. CVE-2024-22195에 대한 수정은 공백만 처리했을 뿐 다른 문자는 처리하지 않았습니다. 이제 키를 사용자 입력으로 받아들이는 것은 명시적으로 `xmlattr` 필터의 의도하지 않은 사용 사례로 간주되며, 입력을 별도로 검증하지 않고 그렇게 하는 코드는 Jinja 버전과 관계없이 안전하지 않은 것으로 표시되어야 합니다. _값_을 사용자 입력으로 받아들이는 것은 계속 안전합니다. 이 취약점은 3.1.4에서 수정되었습니다.

• flask-vuln-baselinePoC

  CVE-2024-34064를 Flask 애플리케이션에서 무결제(sanitization) 없이 시연하며, 보안 테스트 및 교육적 분석을 위한 기준선 역할을 합니다.

• flask-vuln-v5PoC

  CVE-2024-34064 데모 - v5 정규식 끝 앵커 누락

• flask-vuln-v6PoC

  CVE-2024-34064 데모 - v6 위생 처리가 잘못된 변수에 적용됨