🇰🇷 한글 설명
xmltodict 라이브러리의 XML 인젝션 취약점으로 사용자 입력 데이터를 부당하게 조작할 수 있습니다. 0.14.2부터 0.15.1 미만 버전이 영향받으며, 공급자는 xmltodict.unparse()가 Python의 xml.sax.saxutils.XMLGenerator에 요소 이름 처리를 위임하므로 검증 책임이 XMLGenerator에 있다고 주장합니다.
💡 쉬운 설명
xmltodict 라이브러리에 악의적인 XML 데이터를 주입할 수 있는 보안 구멍이 있습니다. 공격자가 조작된 입력을 통해 프로그램을 비정상 동작하게 만들 수 있습니다.
🇺🇸 원문 (English)
XML Injection vulnerability in xmltodict allows Input Data Manipulation.
This issue affects xmltodict: from 0.14.2 before 0.15.1.
NOTE: the scope of this CVE is disputed by the vendor on the grounds that xmltodict.unparse() delegates element-name handling to Python's xml.sax.saxutils.XMLGenerator, and that XMLGenerator should be the component performing validation.
📍 영향받는 시스템
xmltodict 버전 0.14.2 이상 0.15.1 미만
⚔️ 공격 벡터
특수하게 조작된 XML 데이터를 xmltodict.unparse()에 입력하여 XML 인젝션 공격 수행
🛡️ 대응 방법
xmltodict를 0.15.1 이상으로 업그레이드 (pip install --upgrade xmltodict)
🔧 검증 코드
0.15.1 이상의 버전 번호가 출력되면 취약점이 패치됨
pip show xmltodict | grep Version | awk '{print $2}'