🇰🇷 한글 설명
Python의 lxml 라이브러리 6.1.1 이전 버전에서 lxml.html.defs.link_attrs 내에 xlink:href 속성이 누락되어 발생하는 취약점입니다. 이로 인해 SVG나 MathML과 같은 임베디드 콘텐츠 내에서 URL 우회 공격이 가능할 수 있습니다.
💡 쉬운 설명
웹 페이지의 특정 코드를 처리할 때 보안 검사를 피할 수 있는 숨겨진 통로가 있는 상태입니다. 공격자가 이 통로를 이용해 원래 의도와 다른 위험한 웹 주소로 연결을 유도할 수 있습니다.
🇺🇸 원문 (English)
lxml is a library for processing XML and HTML in the Python language. Prior to 6.1.1, link attributes in ``lxml.html.defs.link_attrs`` were missing ``xlink:href``, which can be used for URL bypass attacks in embedded SVG/MathML/etc. content. This vulnerability was fixed in lxml 6.1.1 and lxml_html_clean 0.4.5.
📍 영향받는 시스템
lxml < 6.1.1, lxml_html_clean < 0.4.5
⚔️ 공격 벡터
SVG 또는 MathML 콘텐츠 내에 xlink:href 속성을 포함시켜 보안 필터링을 우회하는 방식
🛡️ 대응 방법
lxml을 6.1.1 이상 버전으로, lxml_html_clean을 0.4.5 이상 버전으로 업데이트하십시오.
🔧 검증 코드
출력된 버전 정보가 lxml 6.1.1 미만 또는 lxml_html_clean 0.4.5 미만인지 확인합니다.
pip show lxml lxml_html_clean | grep -E 'Name:|Version:'