🇰🇷 한글 설명
Mistune 3.3.0 미만 버전의 HTMLRenderer.safe_url() 함수가 퍼센트 인코딩된 자바스크립트 URI를 차단하지 못하는 취약점이 발견되었습니다. 공격자가 악의적인 마크다운 링크나 이미지를 통해 URL 보호 기능을 우회하고 렌더링된 HTML에서 스크립트를 실행할 수 있습니다.
💡 쉬운 설명
마크다운을 HTML로 바꿔주는 프로그램에서 보안 필터가 특수하게 암호화된 주소를 제대로 걸러내지 못하는 문제입니다. 이를 통해 해커가 웹사이트에 몰래 악성 코드를 심어 실행시킬 수 있습니다.
🇺🇸 원문 (English)
Mistune is a Python Markdown parser with renderers and plugins. Prior to 3.3.0, HTMLRenderer.safe_url() does not block percent-encoded javascript URIs, allowing attacker-supplied Markdown links or images to bypass URL protections and execute script in rendered HTML. This issue is fixed in version 3.3.0.
📍 영향받는 시스템
Mistune Python 패키지 3.3.0 미만 버전
⚔️ 공격 벡터
퍼센트 인코딩된 자바스크립트 URI가 포함된 마크다운 링크 또는 이미지 삽입을 통한 XSS 공격
🛡️ 대응 방법
Mistune 패키지를 3.3.0 버전 이상으로 업데이트
🔧 검증 코드
출력된 버전 번호가 3.3.0보다 낮으면 취약한 상태입니다.
pip show mistune | grep Version