python-lxml 已修正，可確保在 clean_html 中正確清理輸入 (CVE-2014-3146)。

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且供應商未提供可用的修補程式。

  - 在 3.3.5 之前的 lxml 中，lxml.html.clean 模組有不完整的黑名單弱點，允許遠端攻擊者透過 clean_html 函式連結配置中的控製字元，發動跨網站指令碼 (XSS) 攻擊。 (CVE-2014-3146)

請注意，Nessus 依賴供應商報告的套件存在。

此 python-lxml 安全性更新可修正 clean_html 中的輸入清理瑕疵。(CVE-2014-3146)

更新版 python-lxml 套件可修正安全性弱點：

Lxml.html.clean 模組提供的 Clean_html() 函式在內含非列印字元 (\x01-\x08) 時並未正確清除 HTML 輸入。遠端攻擊者可利用此瑕疵，將惡意內容傳送至使用 clean_html() 函式的應用程式來處理 HTML，可能造成攻擊者將惡意程式碼插入該應用程式產生的網站 (CVE-2014-3146)。

遠端主機上安裝的 python-lxml 版本為早於 3.2.1-4 的版本。因此，會受到 ALAS2-2023-1956 公告中所提及的多個弱點影響。

    在 3.3.5 之前的 lxml 中，lxml.html.clean 模組存在有不完整的黑名單弱點，允許遠端攻擊者透過 clean_html 函式連結配置中的控制字元發動跨網站指令碼 (XSS) 攻擊。(CVE-2014-3146)

    在 4.2.5 之前的 lxml 中發現一個問題。lxml.html.clean 模組中的 lxml/html/clean.py 未移除使用逸出的 javascript: URL，進而允許遠端攻擊者發動 XSS 攻擊，Internet Explorer 中的 javascript: 即證明這點。這與 CVE-2014-3146 問題類似。
    (CVE-2018-19787)

    負責清理 HTML 和 Javascript 的 python-lxml 之 HTML Cleaner 元件中有一個瑕疵。能夠將特製承載提交至使用 python-lxml 之 HTML Cleaner 的 Web 服務的攻擊者或許能夠在用戶端 (例如網頁瀏覽器) 中觸發指令碼執行。發生此問題的原因是 HTML Cleaner 未移除資料 URL 中 SVG 影像內的指令碼，例如 <img src>。XSS 可導致影響網頁的完整性和可用性，在某些情況下，也可能影響資料機密性。(CVE-2021-43818)

Tenable 已直接從所測試產品的安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Ubuntu 14.04 LTS 主機上安裝的套件受到 USN-2217-1 公告中所提及的一個弱點影響。

    據發現，lxml.html.clean 模組並未正確去除控制字元。攻擊者可能惡意利用此弱點來進行跨網站指令碼 (XSS) 攻擊。

Tenable 已直接從 Ubuntu 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

據發現，lxml 的 clean_html() 函式 (python 的 libxml2 與 libxslt 程式庫繫結) 針對一些不可列印的字元執行的清理不足。這可導致跨網站指令碼。

ID	名稱	產品	系列	已發布	已更新	嚴重性
75380	openSUSE 安全性更新：python-lxml (openSUSE-SU-2014:0735-1)	Nessus	SuSE Local Security Checks	2014/6/13	2021/1/19	medium
218253	Linux Distros 未修補弱點：CVE-2014-3146	Nessus	Misc.	2025/3/4	2025/8/24	critical
78254	SuSE 11.3 安全性更新：python-lxml (SAT 修補程式編號 9821)	Nessus	SuSE Local Security Checks	2014/10/11	2021/1/19	medium
74030	Mandriva Linux 安全性公告：python-lxml (MDVSA-2014:088)	Nessus	Mandriva Local Security Checks	2014/5/16	2021/1/6	medium
171803	Amazon Linux 2：python-lxml (ALAS-2023-1956)	Nessus	Amazon Linux Local Security Checks	2023/2/22	2025/3/17	high
74136	Ubuntu 14.04 LTS：lxml 弱點 (USN-2217-1)	Nessus	Ubuntu Local Security Checks	2014/5/22	2024/8/27	critical
74277	Debian DSA-2941-1：lxml - 安全性更新	Nessus	Debian Local Security Checks	2014/6/3	2021/1/11	medium
82365	Mandriva Linux 安全性公告：python-lxml (MDVSA-2015:112)	Nessus	Mandriva Local Security Checks	2015/3/30	2021/1/14	medium

偵測

搜尋 Plugin

medium

critical

medium

medium

high

critical

medium

medium