This update for python-bleach fixes the following issues :

  - CVE-2021-23980: Fixed mutation XSS on bleach.clean with     specific combinations of allowed tags (boo#1184547)

Update to 3.1.5 :

  - replace missing ``setuptools`` dependency with     ``packaging``. Thank you Benjamin Peterson.

Update to 3.1.4 (boo#1168280, CVE-2020-6817) :

  - ``bleach.clean`` behavior parsing style attributes could     result in a regular expression denial of service     (ReDoS). Calls to ``bleach.clean`` with an allowed tag     with an allowed ``style`` attribute were vulnerable to     ReDoS. For example, ``bleach.clean(..., attributes=('a':
    ['style']))``.

  - Style attributes with dashes, or single or double quoted     values are cleaned instead of passed through.

update to 3.1.3 (boo#1167379, CVE-2020-6816) :

  - Add relative link to code of conduct. (#442)

  - Drop deprecated 'setup.py test' support. (#507)

  - Fix typo: curren -> current in tests/test_clean.py     (#504)

  - Test on PyPy 7

  - Drop test support for end of life Python 3.4

  - ``bleach.clean`` behavior parsing embedded MathML and     SVG content with RCDATA tags did not match browser     behavior and could result in a mutation XSS. Calls to     ``bleach.clean`` with ``strip=False`` and ``math`` or     ``svg`` tags and one or more of the RCDATA tags     ``script``, ``noscript``, ``style``, ``noframes``,     ``iframe``, ``noembed``, or ``xmp`` in the allowed tags     whitelist were vulnerable to a mutation XSS.

It was reported that python-bleach, a whitelist-based HTML-sanitizing library, is prone to a mutation XSS vulnerability in bleach.clean when strip=False and 'math' or 'svg' tags and one or more of the RCDATA tags were whitelisted.

この python-bleach 用の更新プログラムでは、次の問題が修正されています。

  - CVE-2021-23980: 許可されたタグの特定の組み合わせによる bleach.clean の変異 XSS を修正しました (boo#1184547)

3.1.5への更新:

  - 欠落している「setuptools」の依存関係を「packaging」で置き換えます。Benjamin Peterson 氏に感謝します。

3.1.4への更新(boo#1168280、CVE-2020-6817):

  - スタイル属性を解析する「bleach.clean」動作により、正規表現のサービス拒否 (ReDoS) が発生する可能性があります。許可された「スタイル」属性と許可されたタグによる「bleach.clean」への呼び出しは、ReDoS に対して脆弱です。たとえば、「bleach.clean(..., attributes=('a':
    ['style']))」です。

  - ダッシュのあるスタイル属性、または一重引用符または二重引用符で囲まれた値は、パススルーされる代わりに消去されます。

- 3.1.3 への更新 (boo#1167379、CVE-2020-6816) :

  - 行動規範への相対リンクを追加します。(#442)

  - 廃止された「setup.py test」サポートをドロップします。(#507)

  - 誤字:  curren -> current in tests/test_clean.py の最新版を修正します (#504)

  - PyPy 7 でのテスト

  - 最終版 Python 3.4 のテストサポートをドロップします

  - 組み込まれた MathML および SVG コンテンツを RCDATA タグで解析する「bleach.clean」の動作がブラウザの動作と一致せず、変異 XSS が発生する可能性があります。許可されたタグのホワイトリストにおける「strip=False」と「math」または「svg」タグ、および1つ以上のRCDATAタグ「script」、「noscript」、「style」、「noframes」、「iframe」、「noembed」、または「xmp」を使用した「bleach.clean」への呼び出しは、変異XSSに脆弱でした。

ホワイトリストベースのHTMLサニタイズライブラリpython-bleachにおいて、strip=Falseおよびmathタグまたはsvgタグおよび1つ以上のRCDATAタグがホワイトリストに登録されていた場合、bleach.cleanでの変異XSSの脆弱性の影響を受けることが報告されました。

據報告，在將 strip=False 和「math」或「svg」標籤以及一個或多個 RCDATA 標籤列入白名單時，python-bleach (白名單型 HTML 清理程式庫) 容易受到 bleach.clean 中突變 XSS 弱點的影響。

报告称，python-bleach（基于白名单中的 HTML 审查库）在 strip=False 以及“math”或“svg”标签和一个或 RCDATA 标签列入白名单时，容易在 bleach.clean 中出现突变 XSS 漏洞。

ID	名稱	產品	系列	已發布	已更新	嚴重性
148606	openSUSE Security Update : python-bleach (openSUSE-2021-552)	Nessus	SuSE Local Security Checks	2021/4/15	2024/1/4	medium
134773	Debian DSA-4643-1 : python-bleach - security update	Nessus	Debian Local Security Checks	2020/3/23	2024/3/21	medium
148606	openSUSE セキュリティ更新プログラム: python-bleach(openSUSE-2021-552)	Nessus	SuSE Local Security Checks	2021/4/15	2024/1/4	medium
134773	Debian DSA-4643-1 : python-bleach - セキュリティ更新プログラム	Nessus	Debian Local Security Checks	2020/3/23	2024/3/21	medium
134773	Debian DSA-4643-1：python-bleach - 安全性更新	Nessus	Debian Local Security Checks	2020/3/23	2024/3/21	medium
134773	Debian DSA-4643-1：python-bleach - 安全更新	Nessus	Debian Local Security Checks	2020/3/23	2024/3/21	medium

偵測

搜尋 Plugin

medium

medium

medium

medium

medium

medium