据报告，当“svg”或“math”位于允许的标签中，“p”或“br”位于允许的标签中，“style”、“title”、“noscript”、“textarea”、“noframes”、“iframe”或“xmp”在允许的标签中，并且设置了“strip_comments=False”时，基于白名单的 HTML 审查库 python-bleach 容易受到 blink.clean 中的突变 XSS 漏洞的影响。

远程 Redhat Enterprise Linux 7/8 主机上安装的多个程序包受到 RHSA-2021:0781 公告中提及的多个漏洞影响。

  - nodejs-node-notifier：由于未审查选项参数便向其传递数组导致的命令注入 (CVE-2020-7789)

  - nodejs-ajv：通过在 ajv.validate 函数中构建的 JSON 方案造成的原型污染 (CVE-2020-15366)

  - django：通过 archive.extract() 执行潜在目录遍历 (CVE-2021-3281)

  - python-pygments：SML 词法分析器中的无限循环可能导致 DoS (CVE-2021-20270)

  - python-bleach：bleach.clean 中的突变跨站脚本 (CVE-2021-23980)

  - python-pygments：多个词法分析器中的 ReDoS (CVE-2021-27291)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Ubuntu 16.04 LTS/18.04 LTS/20.04 LTS 主机上安装的多个程序包受到 USN-8077-1 公告中提及的多个漏洞影响。

    已发现 Bleach 未正确审查包含字符实体的 URI 属性。攻击者可能利用此问题构建带有禁用方案的 URI将绕过审查从而导致跨站脚本。此问题仅影响 Ubuntu 18.04 LTS。(CVE-2018-7753)

    Yaniv Nizry 发现在清理具有 noscript 标签和在允许的标签列表中存在原始标签的 HTML 时Bleach 容易受到突变跨站脚本问题的影响。攻击者可能利用此问题注入恶意内容从而导致跨站脚本。此问题仅影响 Ubuntu 18.04 LTS。(CVE-2020-6802)

    Yaniv Nizry 发现在将 RCDATA 的 HTML 与允许的标签列表中的 svg 或 math 标签一起审查时Bleach 容易受到mutation 跨站脚本问题的影响。攻击者可能利用此问题注入恶意内容从而导致跨站脚本。 (CVE-2020-6816)

    发现 Bleach 在审查 HTML 时未能正确处理样式属性的解析。攻击者可能利用此问题执行正则表达式拒绝服务从而导致资源过度消耗。 (CVE-2020-6817)

    Yaniv Nizry 和 Micha Bentkowski 发现在使用允许的标签的特定组合清理 HTML 时Bleach 容易受到突变跨站脚本问题的影响。攻击者可能利用此问题注入恶意内容从而导致跨站脚本。 (CVE-2021-23980)

Tenable 已直接从 Ubuntu 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

据发现，基于白名单的 HTML 审查库 python-bleach 中存在一个跨站脚本 (XSS) 漏洞。

对于 Debian 9“Stretch”，已在版本 2.0-1+deb9u1 中修复此问题。

我们建议您升级 python-bleach 程序包。

如需了解 python-bleach 的详细安全状态，请参阅其安全跟踪页面：
https://security-tracker.debian.org/tracker/python-bleach

注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动清理和排版。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - 突变 XSS 会影响调用 blink.clean 时包含以下所有项的用户： 允许的标签中的 svg 或 math 允许的标签中的 p 或 br 允许的标签中的 style、title、noscript、script、textarea、noframes、iframe 或 xmp 关键字参数 strip_comments =False 注意上述任何标签均不属于默认允许的标签且 strip_comments 默认为 True。 (CVE-2021-23980)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
148756	Debian DSA-4892-1：python-bleach - 安全更新	Nessus	Debian Local Security Checks	2021/4/19	2024/1/12	medium
194285	RHEL 7/8：Red Hat Ansible Automation Platform 1.2.2 (RHSA-2021:0781)	Nessus	Red Hat Local Security Checks	2024/4/28	2024/11/7	medium
301534	Ubuntu 16.04 LTS / 18.04 LTS / 20.04 LTSBleach 漏洞 (USN-8077-1)	Nessus	Ubuntu Local Security Checks	2026/3/9	2026/3/9	critical
148363	Debian DLA-2620-1：python-bleach 安全更新	Nessus	Debian Local Security Checks	2021/4/7	2024/1/12	medium
251172	Linux Distros 未修补的漏洞：CVE-2021-23980	Nessus	Misc.	2025/8/18	2026/3/10	medium

检测

插件搜索

medium

medium

critical

medium

medium