This update for python-bleach fixes the following issues :

  - CVE-2021-23980: Fixed mutation XSS on bleach.clean with     specific combinations of allowed tags (boo#1184547)

Update to 3.1.5 :

  - replace missing ``setuptools`` dependency with     ``packaging``. Thank you Benjamin Peterson.

Update to 3.1.4 (boo#1168280, CVE-2020-6817) :

  - ``bleach.clean`` behavior parsing style attributes could     result in a regular expression denial of service     (ReDoS). Calls to ``bleach.clean`` with an allowed tag     with an allowed ``style`` attribute were vulnerable to     ReDoS. For example, ``bleach.clean(..., attributes=('a':
    ['style']))``.

  - Style attributes with dashes, or single or double quoted     values are cleaned instead of passed through.

update to 3.1.3 (boo#1167379, CVE-2020-6816) :

  - Add relative link to code of conduct. (#442)

  - Drop deprecated 'setup.py test' support. (#507)

  - Fix typo: curren -> current in tests/test_clean.py     (#504)

  - Test on PyPy 7

  - Drop test support for end of life Python 3.4

  - ``bleach.clean`` behavior parsing embedded MathML and     SVG content with RCDATA tags did not match browser     behavior and could result in a mutation XSS. Calls to     ``bleach.clean`` with ``strip=False`` and ``math`` or     ``svg`` tags and one or more of the RCDATA tags     ``script``, ``noscript``, ``style``, ``noframes``,     ``iframe``, ``noembed``, or ``xmp`` in the allowed tags     whitelist were vulnerable to a mutation XSS.

The Linux/Unix host has one or more packages installed that are impacted by a vulnerability without a vendor supplied patch available.

  - In Mozilla Bleach before 3.12, a mutation XSS in bleach.clean when RCDATA and either svg or math tags are     whitelisted and the keyword argument strip=False. (CVE-2020-6816)

Note that Nessus relies on the presence of the package as reported by the vendor.

It was reported that python-bleach, a whitelist-based HTML-sanitizing library, is prone to a mutation XSS vulnerability in bleach.clean when strip=False and 'math' or 'svg' tags and one or more of the RCDATA tags were whitelisted.

この python-bleach 用の更新プログラムでは、次の問題が修正されています。

  - CVE-2021-23980: 許可されたタグの特定の組み合わせによる bleach.clean の変異 XSS を修正しました (boo#1184547)

3.1.5への更新:

  - 欠落している「setuptools」の依存関係を「packaging」で置き換えます。Benjamin Peterson 氏に感謝します。

3.1.4への更新(boo#1168280、CVE-2020-6817):

  - スタイル属性を解析する「bleach.clean」動作により、正規表現のサービス拒否 (ReDoS) が発生する可能性があります。許可された「スタイル」属性と許可されたタグによる「bleach.clean」への呼び出しは、ReDoS に対して脆弱です。たとえば、「bleach.clean(..., attributes=('a':
    ['style']))」です。

  - ダッシュのあるスタイル属性、または一重引用符または二重引用符で囲まれた値は、パススルーされる代わりに消去されます。

- 3.1.3 への更新 (boo#1167379、CVE-2020-6816) :

  - 行動規範への相対リンクを追加します。(#442)

  - 廃止された「setup.py test」サポートをドロップします。(#507)

  - 誤字:  curren -> current in tests/test_clean.py の最新版を修正します (#504)

  - PyPy 7 でのテスト

  - 最終版 Python 3.4 のテストサポートをドロップします

  - 組み込まれた MathML および SVG コンテンツを RCDATA タグで解析する「bleach.clean」の動作がブラウザの動作と一致せず、変異 XSS が発生する可能性があります。許可されたタグのホワイトリストにおける「strip=False」と「math」または「svg」タグ、および1つ以上のRCDATAタグ「script」、「noscript」、「style」、「noframes」、「iframe」、「noembed」、または「xmp」を使用した「bleach.clean」への呼び出しは、変異XSSに脆弱でした。

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且供應商未提供可用的修補程式。

  - 在 3.12之前的 Mozilla Blake 中RCDATA 和 svg 或 math 標籤列入白名單且關鍵字引數 strip=False 時batch.clean 的突變 XSS 存在。 (CVE-2020-6816)

請注意，Nessus 依賴供應商報告的套件存在。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - 3.12より前の Mozilla Bleach において、RCDATA および svg または math タグのいずれかがホワイトリストに登録され、キーワード引数 strip=False の場合、bleach.clean の変異 XSS によって引き起こされる可能性があります。CVE-2020-6816

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

报告称，python-bleach（基于白名单中的 HTML 审查库）在 strip=False 以及“math”或“svg”标签和一个或 RCDATA 标签列入白名单时，容易在 bleach.clean 中出现突变 XSS 漏洞。

據報告，在將 strip=False 和「math」或「svg」標籤以及一個或多個 RCDATA 標籤列入白名單時，python-bleach (白名單型 HTML 清理程式庫) 容易受到 bleach.clean 中突變 XSS 弱點的影響。

ホワイトリストベースのHTMLサニタイズライブラリpython-bleachにおいて、strip=Falseおよびmathタグまたはsvgタグおよび1つ以上のRCDATAタグがホワイトリストに登録されていた場合、bleach.cleanでの変異XSSの脆弱性の影響を受けることが報告されました。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - 在 3.12之前的 Mozilla Bleach 中当 RCDATA 与 svg 或 math 标签列入白名单且关键字参数 strip=False 时bleach.clean 存在突变 XSS。 (CVE-2020-6816)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

ID	名稱	產品	系列	已發布	已更新	嚴重性
148606	openSUSE Security Update : python-bleach (openSUSE-2021-552)	Nessus	SuSE Local Security Checks	2021/4/15	2024/1/4	medium
250497	Linux Distros Unpatched Vulnerability : CVE-2020-6816	Nessus	Misc.	2025/8/18	2025/8/18	medium
134773	Debian DSA-4643-1 : python-bleach - security update	Nessus	Debian Local Security Checks	2020/3/23	2024/3/21	medium
148606	openSUSE セキュリティ更新プログラム: python-bleach(openSUSE-2021-552)	Nessus	SuSE Local Security Checks	2021/4/15	2024/1/4	medium
250497	Linux Distros 未修補的弱點：CVE-2020-6816	Nessus	Misc.	2025/8/18	2025/8/18	medium
250497	Linux Distros のパッチ未適用の脆弱性: CVE-2020-6816	Nessus	Misc.	2025/8/18	2025/8/18	medium
134773	Debian DSA-4643-1：python-bleach - 安全更新	Nessus	Debian Local Security Checks	2020/3/23	2024/3/21	medium
134773	Debian DSA-4643-1：python-bleach - 安全性更新	Nessus	Debian Local Security Checks	2020/3/23	2024/3/21	medium
134773	Debian DSA-4643-1 : python-bleach - セキュリティ更新プログラム	Nessus	Debian Local Security Checks	2020/3/23	2024/3/21	medium
250497	Linux Distros 未修补的漏洞：CVE-2020-6816	Nessus	Misc.	2025/8/18	2025/8/18	medium

偵測

搜尋 Plugin

medium

medium

medium

medium

medium

medium

medium

medium

medium

medium