Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - Jinja 是可扩展的模板引擎。受影响的 Jinja 版本中的“xmlattr”过滤器接受包含非属性字符的密钥。XML/HTML 属性不能包含空格、/、> 或 =，因为这些字符都会被解释为开始一个单独的属性。如果应用程序接受密钥（而不是仅接受值）作为用户输入内容，并在其他用户也能看到的页面中呈现这些输入内容，则攻击者可利用此问题注入其他属性和发起 XSS 攻击。CVE-2024-22195 的补丁仅解决空格，未解决其他字符。接受密钥作为用户输入内容现在被明确视为“xmlattr”过滤器的非预期用例，无论 Jinja 是什么版本，即接受密钥作为用户输入内容且未验证输入内容的代码均应被标记为不安全代码。接受值作为用户输入内容仍然是安全的做法。此漏洞已在 3.1.4 中修复。(CVE-2024-34064)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

检测

Linux Distros 未修补的漏洞: CVE-2024-34064

medium Nessus 插件 ID 227465

版本 1.2