遠端主機上安裝的 python-lxml 版本為早於 3.2.1-4 的版本。因此，會受到 ALAS2-2023-1956 公告中所提及的多個弱點影響。

    在 3.3.5 之前的 lxml 中，lxml.html.clean 模組存在有不完整的黑名單弱點，允許遠端攻擊者透過 clean_html 函式連結配置中的控制字元發動跨網站指令碼 (XSS) 攻擊。(CVE-2014-3146)

    在 4.2.5 之前的 lxml 中發現一個問題。lxml.html.clean 模組中的 lxml/html/clean.py 未移除使用逸出的 javascript: URL，進而允許遠端攻擊者發動 XSS 攻擊，Internet Explorer 中的 javascript: 即證明這點。這與 CVE-2014-3146 問題類似。
    (CVE-2018-19787)

    負責清理 HTML 和 Javascript 的 python-lxml 之 HTML Cleaner 元件中有一個瑕疵。能夠將特製承載提交至使用 python-lxml 之 HTML Cleaner 的 Web 服務的攻擊者或許能夠在用戶端 (例如網頁瀏覽器) 中觸發指令碼執行。發生此問題的原因是 HTML Cleaner 未移除資料 URL 中 SVG 影像內的指令碼，例如 <img src>。XSS 可導致影響網頁的完整性和可用性，在某些情況下，也可能影響資料機密性。(CVE-2021-43818)

Tenable 已直接從所測試產品的安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

偵測

Amazon Linux 2：python-lxml (ALAS-2023-1956)

high Nessus Plugin ID 171803

版本 1.4