python-lxml 已修复，可确保 clean_html 中正确的输入审查 (CVE-2014-3146)。

python-lxml 的此安全更新修复 clean_html 中的一个输入审查缺陷。(CVE-2014-3146)

更新后的 python-lxml 程序包修复了安全漏洞：

由 lxml.html.clean 模块提供的 clean_html() 函数在 HTML 输入含有非印刷字符 (\x01-\x08) 时没有对其进行正确清理。远程攻击者可利用此缺陷，向使用 clean_html() 函数来处理 HTML 的应用程序提供恶意内容，这可能允许攻击者向由该应用程序所生成的网站注入恶意代码 (CVE-2014-3146)。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - 3.3.5 之前的 lxml 中的 lxml.html.clean 模块中的不完整黑名单漏洞允许远程攻击者通过 clean_html 函数的链接方案中的控制字符进行跨站脚本 (XSS) 攻击。 (CVE-2014-3146)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

已发现 lxml（libxml2 和 libxslt 库的 python 化绑定）的 clean_html() 函数对某些不可打印字符执行的审查不充分。这可导致跨站脚本。

远程主机上安装的 python-lxml 版本低于 3.2.1-4。因此，该软件受到 ALAS2-2023-1956 公告中提及的多个漏洞影响。

    在 3.3.5 之前的 lxml 中，lxml.html.clean 模块中不完整的黑名单漏洞允许远程攻击者通过 clean_html 函数的链接方案中的控制字符执行跨站脚本 (XSS) 攻击。(CVE-2014-3146)

    在低于 4.2.5 的 lxml 中发现一个问题。lxml.html.clean 模块中的 lxml/html/clean.py 未移除使用转义的 javascript:URL，导致远程攻击者可以进行 XSS 攻击，这点已由 Internet Explorer 中的 javascript: 证实。此问题类似于 CVE-2014-3146。
    (CVE-2018-19787)

    python-lxml 的 HTML Cleaner 组件中存在缺陷，此组件用于审查 HTML 和 Javascript。如果攻击者能够使用 python-lxml 的 HTML Cleaner 将特制的负载提交到 Web 服务，则可在客户端（例如 Web 浏览器）中触发脚本执行。之所以出现这种情况，是因为 HTML Cleaner 未移除数据 URL（例如 <img src>）的 SVG 图像内的脚本。XSS 可对网页的完整性和可用性造成影响，并在某些情况下对数据机密性造成潜在影响。(CVE-2021-43818)

Tenable 已直接从测试产品的安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Ubuntu 14.04 LTS 主机上安装的程序包受到 USN-2217-1 公告中提及一个漏洞影响。

    已发现 lxml.html.clean 模块未正确剥离控制字符。攻击者可能利用此问题进行跨站脚本 (XSS) 攻击。

Tenable 已直接从 Ubuntu 安全公告中提取上述描述块。

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
75380	openSUSE 安全更新：python-lxml (openSUSE-SU-2014:0735-1)	Nessus	SuSE Local Security Checks	2014/6/13	2021/1/19	medium
78254	SuSE 11.3 安全更新：python-lxml（SAT 修补程序编号 9821）	Nessus	SuSE Local Security Checks	2014/10/11	2021/1/19	medium
74030	Mandriva Linux 安全公告：python-lxml (MDVSA-2014:088)	Nessus	Mandriva Local Security Checks	2014/5/16	2021/1/6	medium
218253	Linux Distros 未修补的漏洞: CVE-2014-3146	Nessus	Misc.	2025/3/4	2025/8/24	critical
74277	Debian DSA-2941-1：lxml - 安全更新	Nessus	Debian Local Security Checks	2014/6/3	2021/1/11	medium
82365	Mandriva Linux 安全公告：python-lxml (MDVSA-2015:112)	Nessus	Mandriva Local Security Checks	2015/3/30	2021/1/14	medium
171803	Amazon Linux 2：python-lxml (ALAS-2023-1956)	Nessus	Amazon Linux Local Security Checks	2023/2/22	2025/3/17	high
74136	Ubuntu 14.04 LTS：lxml 漏洞 (USN-2217-1)	Nessus	Ubuntu Local Security Checks	2014/5/22	2024/8/27	critical

检测

插件搜索

medium

medium

medium

critical

medium

medium

high

critical