远程 Debian 11/12 主机上安装的程序包受到 dsa-5616 公告中提及的一个漏洞影响。

  - Sanitize 是一种基于白名单的 HTML 和 CSS 审查器。通过使用精心构建的输入，当 Sanitize 被配置为使用内置宽松配置或使用允许“style”元素及一个或多个 CSS at-rule 的自定义配置时，攻击者可能可以通过 3.0.0 至 6.0.2 版本之间的 Sanitize 来偷偷入侵任意 HTML 和 CSS。如果恶意 HTML 和 CSS 在浏览器中经过渲染，这可能会导致发生跨站脚本漏洞或其他意外行为。Sanitize 6.0.2 在“style”元素内容中执行额外的 CSS 转义，从而修复了此问题。无法升级的用户可以通过使用不允许“style”元素的 Sanitize 配置、使用不允许 CSS at-rule 的 Sanitize 配置或将“style”元素内容中的字符序列“</”手动转义为“<\/”来防止出现此问题。(CVE-2023-36823)

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

检测

Debian dsa-5616：ruby-sanitize - 安全更新

medium Nessus 插件 ID 190002

版本 1.0