🇰🇷 한글 설명
Go 언어용 bluemonday 1.0.16 미만 버전 및 Python용 pybluemonday 0.0.8 미만 버전에서 SELECT, STYLE, OPTION 요소에 대한 정책이 제대로 적용되지 않는 취약점이 발견되었습니다. 이로 인해 공격자가 허용되지 않은 HTML 태그나 속성을 삽입할 수 있습니다.
💡 쉬운 설명
웹사이트에서 위험한 코드를 걸러내는 필터링 도구가 특정 태그들을 제대로 막지 못하는 문제입니다. 이를 통해 공격자가 악성 스크립트를 심어 사용자 정보를 훔칠 수 있습니다.
🇺🇸 원문 (English)
The bluemonday sanitizer before 1.0.16 for Go, and before 0.0.8 for Python (in pybluemonday), does not properly enforce policies associated with the SELECT, STYLE, and OPTION elements.
📍 영향받는 시스템
bluemonday (Go) < 1.0.16, pybluemonday (Python) < 0.0.8
⚔️ 공격 벡터
검증되지 않은 HTML 태그(SELECT, STYLE, OPTION)를 포함한 입력을 통해 XSS 공격 수행
🛡️ 대응 방법
bluemonday를 1.0.16 이상으로, pybluemonday를 0.0.8 이상으로 업데이트하십시오.
🔧 검증 코드
출력된 버전 번호가 pybluemonday 0.0.8 미만 또는 bluemonday 1.0.16 미만인지 확인하십시오.
pip show pybluemonday | grep Version || go list -m all | grep bluemonday