🇰🇷 한글 설명
Python의 lxml 라이브러리 4.6.5 이전 버전에서 HTML Cleaner가 특정 조작된 스크립트 콘텐츠나 데이터 URI를 사용한 SVG 내 스크립트를 제대로 필터링하지 못하는 취약점이 발견되었습니다. 보안이 중요한 환경에서 HTML Cleaner를 사용하는 경우, 이 취약점을 통해 악성 스크립트가 실행될 수 있습니다.
💡 쉬운 설명
웹사이트의 나쁜 코드를 걸러주는 청소 도구에 구멍이 생겨서, 교묘하게 숨겨진 악성 코드가 통과될 수 있는 문제입니다. 이로 인해 사용자의 브라우저에서 해킹 스크립트가 실행될 위험이 있습니다.
🇺🇸 원문 (English)
lxml is a library for processing XML and HTML in the Python language. Prior to version 4.6.5, the HTML Cleaner in lxml.html lets certain crafted script content pass through, as well as script content in SVG files embedded using data URIs. Users that employ the HTML cleaner in a security relevant context should upgrade to lxml 4.6.5 to receive a patch. There are no known workarounds available.
📍 영향받는 시스템
lxml 라이브러리 4.6.5 미만 버전
⚔️ 공격 벡터
조작된 스크립트가 포함된 HTML 또는 데이터 URI 형태의 SVG 파일을 통해 공격
🛡️ 대응 방법
lxml 라이브러리를 4.6.5 이상 버전으로 업데이트
🔧 검증 코드
출력된 버전 번호가 4.6.5보다 낮은지 확인합니다.
pip show lxml | grep Version