FlaskBlog 中的用户个人资料页面容易受到跨站脚本 (XSS) 攻击 (CVE-2024-22414)
CVE编号
CVE-2024-22414利用情况
暂无补丁情况
N/A披露时间
2024-01-18漏洞描述
flaskBlog 是一个用 Flask 构建的简单博客应用程序。`/user/<user>` 页面对用户的评论进行不正确的存储和渲染，导致评论能够执行任意 JavaScript 代码。HTML 模板 `user.html` 包含以下代码片段用于渲染用户的评论：<div class="content" tag="content">{{comment[2]|safe}}</div>。使用"safe"标签导致 Flask _不_ 对渲染的内容进行转义。要修复此问题，只需从上述 HTML 中移除 `|safe` 标签。目前尚无修复措施可用，建议用户手动编辑其安装版本。解决建议
建议您更新当前系统或软件至最新版，完成漏洞的修复。
参考链接 |
|
|---|---|
| https://github.com/DogukanUrker/flaskBlog/security/advisories/GHSA-mrcw-j96f-p6v6 |
- 攻击路径 网络
- 攻击复杂度 低
- 权限要求 低
- 影响范围 已更改
- 用户交互 需要
- 可用性 低
- 保密性 低
- 完整性 低
| CWE-ID | 漏洞类型 |
| CWE-79 | 在Web页面生成时对输入的转义处理不恰当（跨站脚本） |
Exp相关链接
版权声明
本站原创文章转载请注明文章出处及链接，谢谢合作！
评论