FreeBSD：Wagtail -- XSSの脆弱性（e1d3a580-cd8b-11ea-bad0-08002728f74c）

medium Nessus プラグイン ID 139113

Language:

概要

リモートのFreeBSDホストに1つ以上のセキュリティ関連の更新プログラムがありません。

説明

GitHubアドバイザリデータベース:

wagtail.contrib.formsアプリを通じてWagtailエディターがフォームページタイプを利用できるようにし、form.as_p（ドキュメントで指示されている）などのヘルパーをレンダリングするDjangoの標準フォームを使用してページテンプレートを構築すると、フォームフィールドのヘルプテキストで使用される任意のHTMLタグがエスケープされずにページにレンダリングされます。ヘルプテキスト内でHTMLを許可することは、Djangoによる意図的なデザイン判断です。
ただし、ポリシーの問題としてWagtailでは、デフォルトでエディターが任意のHTMLを挿入できないようにしています。これは、権限昇格を含むクロスサイトスクリプティング攻撃を実行するために使用される可能性があるためです。したがって、エディターレベルのユーザーはこの機能を利用できないようにする必要があります。

この脆弱性は、Wagtail管理者へのアクセス権がない通常のサイト訪問者には悪用できません。