The remote Debian 11 / 12 host has a package installed that is affected by a vulnerability as referenced in the dsa-5616 advisory.

  - Sanitize is an allowlist-based HTML and CSS sanitizer. Using carefully crafted input, an attacker may be     able to sneak arbitrary HTML and CSS through Sanitize starting with version 3.0.0 and prior to version     6.0.2 when Sanitize is configured to use the built-in relaxed config or when using a custom config that     allows `style` elements and one or more CSS at-rules. This could result in cross-site scripting or other     undesired behavior when the malicious HTML and CSS are rendered in a browser. Sanitize 6.0.2 performs     additional escaping of CSS in `style` element content, which fixes this issue. Users who are unable to     upgrade can prevent this issue by using a Sanitize config that doesn't allow `style` elements, using a     Sanitize config that doesn't allow CSS at-rules, or by manually escaping the character sequence `</` as     `<\/` in `style` element content. (CVE-2023-36823)

Note that Nessus has not tested for this issue but has instead relied only on the application's self-reported version number.

リモートの Debian 11 / 12 ホストには、dsa-5616 のアドバイザリに記載された脆弱性の影響を受けるパッケージがインストールされています。

  - Sanitize は、許可リストベースの HTML および CSS サニタイザーです。Sanitize がビルトインの config を使用するように構成される場合、または「style」要素および 1 つ以上の CSS at-rules を許可するカスタム config を使用する場合、攻撃者は慎重に細工された入力を使用して、バージョン 3.0.0 以降およびバージョン 6.0.2 以前の Sanitize を通じて、任意の HTML および CSS を忍び込ませる可能性があります。これにより、悪意のある HTML および CSS がブラウザでレンダリングされたときに、クロスサイトスクリプティングまたはその他の望ましくない動作が発生する可能性があります。Sanitize 6.0.2は、「style」要素コンテンツで CSS の追加のエスケープを実行し、この問題を修正します。アップグレードできないユーザーは、「style」要素を許可しないサニタイズ構成を使用するか、CSS at-rules を許可しない Sanitize 構成を使用するか、「style」要素コンテンツで文字シーケンス「</」を「<\/」としてを手動でエスケープすることで、この問題を防止します。(CVE-2023-36823)

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

远程 Debian 11/12 主机上安装的程序包受到 dsa-5616 公告中提及的一个漏洞影响。

  - Sanitize 是一种基于白名单的 HTML 和 CSS 审查器。通过使用精心构建的输入，当 Sanitize 被配置为使用内置宽松配置或使用允许“style”元素及一个或多个 CSS at-rule 的自定义配置时，攻击者可能可以通过 3.0.0 至 6.0.2 版本之间的 Sanitize 来偷偷入侵任意 HTML 和 CSS。如果恶意 HTML 和 CSS 在浏览器中经过渲染，这可能会导致发生跨站脚本漏洞或其他意外行为。Sanitize 6.0.2 在“style”元素内容中执行额外的 CSS 转义，从而修复了此问题。无法升级的用户可以通过使用不允许“style”元素的 Sanitize 配置、使用不允许 CSS at-rule 的 Sanitize 配置或将“style”元素内容中的字符序列“</”手动转义为“<\/”来防止出现此问题。(CVE-2023-36823)

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

The remote Ubuntu 20.04 LTS / 22.04 LTS / 23.10 host has a package installed that is affected by multiple vulnerabilities as referenced in the USN-6748-1 advisory.

    It was discovered that Sanitize incorrectly handled noscript elements under certain circumstances. An     attacker could possibly use this issue to execute a cross-site scripting (XSS) attack. This issue only     affected Ubuntu 22.04 LTS. (CVE-2023-23627)

    It was discovered that Sanitize incorrectly handled style elements under certain circumstances. An     attacker could possibly use this issue to execute a cross-site scripting (XSS) attack. (CVE-2023-36823)

Tenable has extracted the preceding description block directly from the Ubuntu security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

The remote Debian 10 host has a package installed that is affected by a vulnerability as referenced in the dla-3652 advisory.

    - -------------------------------------------------------------------------     Debian LTS Advisory DLA-3652-1                debian-lts@lists.debian.org     https://www.debian.org/lts/security/                           Chris Lamb     November 14, 2023                             https://wiki.debian.org/LTS
    - -------------------------------------------------------------------------

    Package        : ruby-sanitize     Version        : 4.6.6-2.1~deb10u2     CVE ID         : CVE-2023-36823     Debian Bug     : 1041430

    It was discovered that there was a potential cross-site scripting     (XSS) in ruby-sanitize, a whitelist-based HTML sanitizer.

    Using carefully crafted input, an attacker may have be able to sneak     arbitrary HTML and CSS through Sanitize when configured to use the     built-in relaxed config or when using a custom config that allowed     style elements and one or more CSS at-rules. This could have     resulted in cross-site scripting (XSS) or other undesired behavior     if the malicious HTML and CSS were then rendered in a browser.

    For Debian 10 buster, this problem has been fixed in version     4.6.6-2.1~deb10u2.

    We recommend that you upgrade your ruby-sanitize packages.

    For the detailed security status of ruby-sanitize please refer to     its security tracker page at:
    https://security-tracker.debian.org/tracker/ruby-sanitize

    Further information about Debian LTS security advisories, how to apply     these updates to your system and frequently asked questions can be     found at: https://wiki.debian.org/LTS

Tenable has extracted the preceding description block directly from the Debian security advisory.

Note that Nessus has not tested for this issue but has instead relied only on the application's self-reported version number.

遠端 Debian 11/12 主機上安裝的一個套件受到 dsa-5616 公告中提及的弱點影響。

  - Sanitize 是一種白名單型 HTML 和 CSS 清理程式。使用特製的輸入，當 Sanitize 被設定為使用內建寬鬆組態或使用允許“style”元素及一個或多個 CSS at-rule 的自訂組態時，攻擊者或可透過 3.0.0 至 6.0.2 版之間的 Sanitize 來暗中檢視任意 HTML 和 CSS。若惡意 HTML 和 CSS 在瀏覽器中經過轉譯，這可導致發生跨網站指令碼或其他不需要的行為。Sanitize 6.0.2 對“style”元素內容執行額外的 CSS 逸出，從而修正此問題。無法升級的使用者可以使用不允許“style”元素的 Sanitize 組態、使用不允許 CSS at-rule 的 Sanitize 組態或是將“style”元素內容中的字元序列“</”手動逸出為“<\/”來防止出現此問題。(CVE-2023-36823)

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

リモートの Debian 10 ホストには、dla-3652 のアドバイザリに記載された脆弱性の影響を受けるパッケージがインストールされています。

  - Sanitize は、許可リストベースの HTML および CSS サニタイザーです。Sanitize がビルトインの config を使用するように構成される場合、または「style」要素および 1 つ以上の CSS at-rules を許可するカスタム config を使用する場合、攻撃者は慎重に細工された入力を使用して、バージョン 3.0.0 以降およびバージョン 6.0.2 以前の Sanitize を通じて、任意の HTML および CSS を忍び込ませる可能性があります。これにより、悪意のある HTML および CSS がブラウザでレンダリングされたときに、クロスサイトスクリプティングまたはその他の望ましくない動作が発生する可能性があります。Sanitize 6.0.2は、「style」要素コンテンツで CSS の追加のエスケープを実行し、この問題を修正します。アップグレードできないユーザーは、「style」要素を許可しないサニタイズ構成を使用するか、CSS at-rules を許可しない Sanitize 構成を使用するか、「style」要素コンテンツで文字シーケンス「</」を「<\/」としてを手動でエスケープすることで、この問題を防止します。(CVE-2023-36823)

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートの Ubuntu 20.04LTS / 22.04LTS / 23.10ホストには、USN-6748-1のアドバイザリに記載されている複数の脆弱性の影響を受けるパッケージがインストールされています。

  - Sanitize は、許可リストベースの HTML および CSS サニタイザーです。バージョン 5.0.0 以降、6.0.1 より前のバージョンは、クロスサイトスクリプティングに対して脆弱です。「noscript」要素を許可するカスタム許可リストで Sanitize が構成されている場合、攻撃者は任意の HTML を組み込むことができ、その HTML がブラウザでレンダリングされるときに XSS (クロスサイトスクリプティング) またはその他の望ましくない動作が発生します。デフォルトの構成は「noscript」要素を許可しないため、脆弱ではありません。この問題の影響を受けるのは、要素許可リストに「noscript」を追加するカスタム構成を使用しているユーザーのみです。この問題には、バージョン 6.0.1 でパッチが適用されています。アップグレードできないユーザーは、Sanitize のデフォルト構成の 1 つを使用するか、カスタム構成の要素許可リストに「noscript」が含まれないようにすることで、この問題を回避できます。(CVE-2023-23627)

  - Sanitize は、許可リストベースの HTML および CSS サニタイザーです。Sanitize がビルトインの config を使用するように構成される場合、または「style」要素および 1 つ以上の CSS at-rules を許可するカスタム config を使用する場合、攻撃者は慎重に細工された入力を使用して、バージョン 3.0.0 以降およびバージョン 6.0.2 以前の Sanitize を通じて、任意の HTML および CSS を忍び込ませる可能性があります。これにより、悪意のある HTML および CSS がブラウザでレンダリングされたときに、クロスサイトスクリプティングまたはその他の望ましくない動作が発生する可能性があります。Sanitize 6.0.2は、「style」要素コンテンツで CSS の追加のエスケープを実行し、この問題を修正します。アップグレードできないユーザーは、「style」要素を許可しないサニタイズ構成を使用するか、CSS at-rules を許可しない Sanitize 構成を使用するか、「style」要素コンテンツで文字シーケンス「</」を「<\/」としてを手動でエスケープすることで、この問題を防止します。(CVE-2023-36823)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

遠端 Debian 10 主機上安裝的套件受 dla-3652 公告中提及的一個弱點影響。

  - Sanitize 是一種白名單型 HTML 和 CSS 清理程式。使用特製的輸入，當 Sanitize 被設定為使用內建寬鬆組態或使用允許“style”元素及一個或多個 CSS at-rule 的自訂組態時，攻擊者或可透過 3.0.0 至 6.0.2 版之間的 Sanitize 來暗中檢視任意 HTML 和 CSS。若惡意 HTML 和 CSS 在瀏覽器中經過轉譯，這可導致發生跨網站指令碼或其他不需要的行為。Sanitize 6.0.2 對“style”元素內容執行額外的 CSS 逸出，從而修正此問題。無法升級的使用者可以使用不允許“style”元素的 Sanitize 組態、使用不允許 CSS at-rule 的 Sanitize 組態或是將“style”元素內容中的字元序列“</”手動逸出為“<\/”來防止出現此問題。(CVE-2023-36823)

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Ubuntu 20.04 LTS/22.04 LTS/23.10 主機上安裝的一個套件受到 USN-6748-1 公告中所提及的多個弱點影響。

  - Sanitize 是一種允許清單型 HTML 和 CSS 清理程式。5.0.0 及更新版本和 6.0.1 之前的版本容易遭受跨網站指令碼攻擊。若透過支援使用「noscript」元素的自訂允許清單設定清理，攻擊者可以納入任意 HTML，進而導致在瀏覽器中轉譯該 HTML 時發生 XSS (跨網站指令碼) 或其他非預期行為。預設設定不允許使用「noscript」元素，因此不受此弱點影響。此問題只會影響使用自訂設定將「noscript」新增至元素允許清單的使用者。此問題已在 6.0.1 版中修正。無法升級的使用者可以使用 Sanitize 的其中一項預設設定，或確保其自訂設定為元素允許清單中不包含「noscript」，以此避免此問題。(CVE-2023-23627)

  - Sanitize 是一種允許清單型 HTML 和 CSS 清理程式。使用特製的輸入，當 Sanitize 被設定為使用內建寬鬆組態或使用允許“style”元素及一個或多個 CSS at-rule 的自訂組態時，攻擊者或可透過 3.0.0 至 6.0.2 版之間的 Sanitize 來暗中檢視任意 HTML 和 CSS。若惡意 HTML 和 CSS 在瀏覽器中經過轉譯，這可導致發生跨網站指令碼或其他不需要的行為。Sanitize 6.0.2 對“style”元素內容執行額外的 CSS 逸出，從而修正此問題。無法升級的使用者可以使用不允許“style”元素的 Sanitize 組態、使用不允許 CSS at-rule 的 Sanitize 組態或是將“style”元素內容中的字元序列“</”手動逸出為“<\/”來防止出現此問題。(CVE-2023-36823)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

远程 Debian 10 主机上安装的程序包受到 dla-3652 公告中提及的一个漏洞影响。

  - Sanitize 是一种基于白名单的 HTML 和 CSS 审查器。通过使用精心构建的输入，当 Sanitize 被配置为使用内置宽松配置或使用允许“style”元素及一个或多个 CSS at-rule 的自定义配置时，攻击者可能可以通过 3.0.0 至 6.0.2 版本之间的 Sanitize 来偷偷入侵任意 HTML 和 CSS。如果恶意 HTML 和 CSS 在浏览器中经过渲染，这可能会导致发生跨站脚本漏洞或其他意外行为。Sanitize 6.0.2 在“style”元素内容中执行额外的 CSS 转义，从而修复了此问题。无法升级的用户可以通过使用不允许“style”元素的 Sanitize 配置、使用不允许 CSS at-rule 的 Sanitize 配置或将“style”元素内容中的字符序列“</”手动转义为“<\/”来防止出现此问题。(CVE-2023-36823)

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Ubuntu 20.04 LTS / 22.04 LTS / 23.10 主机上安装的程序包受到 USN-6748-1 公告中提及的多个漏洞的影响。

  - Sanitize 是一种基于白名单的 HTML 和 CSS 审查器。 5.0.0 及之后的版本和 6.0.1 之前的版本可能容易受到跨站脚本的攻击。当通过允许 `noscript` 元素的自定义允许列表配置 Sanitize 时，攻击者能够包括任意 HTML，导致在浏览器中渲染该 HTML 时发生 XSS（跨站脚本）或其他意外行为。默认配置不允许 `noscript` 元素，因此不易受到攻击。此问题仅影响使用将 `noscript` 添加到元素允许列表的自定义配置的用户。已在版本 6.0.1 中修补此问题。无法升级的用户可使用 Sanitize 的默认配置之一，或通过确保其自定义配置的元素允许列表中不包含 `noscript`，来防止此问题。(CVE-2023-23627)

  - Sanitize 是一种基于白名单的 HTML 和 CSS 审查器。通过使用精心构建的输入，当 Sanitize 被配置为使用内置宽松配置或使用允许“style”元素及一个或多个 CSS at-rule 的自定义配置时，攻击者可能可以通过 3.0.0 至 6.0.2 版本之间的 Sanitize 来偷偷入侵任意 HTML 和 CSS。如果恶意 HTML 和 CSS 在浏览器中经过渲染，这可能会导致发生跨站脚本漏洞或其他意外行为。Sanitize 6.0.2 在“style”元素内容中执行额外的 CSS 转义，从而修复了此问题。无法升级的用户可以通过使用不允许“style”元素的 Sanitize 配置、使用不允许 CSS at-rule 的 Sanitize 配置或将“style”元素内容中的字符序列“</”手动转义为“<\/”来防止出现此问题。(CVE-2023-36823)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
190002	Debian dsa-5616 : ruby-sanitize - security update	Nessus	Debian Local Security Checks	2024/2/6	2024/2/6	medium
190002	Debian dsa-5616 : ruby-sanitize - セキュリティ更新	Nessus	Debian Local Security Checks	2024/2/6	2024/2/6	medium
190002	Debian dsa-5616：ruby-sanitize - 安全更新	Nessus	Debian Local Security Checks	2024/2/6	2024/2/6	medium
193803	Ubuntu 20.04 LTS / 22.04 LTS / 23.10 : Sanitize vulnerabilities (USN-6748-1)	Nessus	Ubuntu Local Security Checks	2024/4/24	2024/8/27	medium
185522	Debian dla-3652 : ruby-sanitize - security update	Nessus	Debian Local Security Checks	2023/11/14	2025/1/22	medium
190002	Debian dsa-5616：ruby-sanitize - 安全性更新	Nessus	Debian Local Security Checks	2024/2/6	2024/2/6	medium
185522	Debian DLA-3652-1：ruby-sanitize - LTS セキュリティ更新	Nessus	Debian Local Security Checks	2023/11/14	2025/1/22	medium
193803	Ubuntu 20.04 LTS / 22.04 LTS / 23.10 : Sanitize の脆弱性 (USN-6748-1)	Nessus	Ubuntu Local Security Checks	2024/4/24	2024/8/27	medium
185522	Debian DLA-3652-1：ruby-sanitize - LTS 安全性更新	Nessus	Debian Local Security Checks	2023/11/14	2025/1/22	medium
193803	Ubuntu 20.04 LTS/22.04 LTS/23.10：Sanitize 弱點 (USN-6748-1)	Nessus	Ubuntu Local Security Checks	2024/4/24	2024/8/27	medium
185522	Debian DLA-3652-1：ruby-sanitize - LTS 安全更新	Nessus	Debian Local Security Checks	2023/11/14	2025/1/22	medium
193803	Ubuntu 20.04 LTS/22.04 LTS/23.10：Sanitize 漏洞 (USN-6748-1)	Nessus	Ubuntu Local Security Checks	2024/4/24	2024/8/27	medium

检测

插件搜索

medium

medium

medium

medium

medium

medium

medium

medium

medium

medium

medium

medium