リモートの SUSE Linux SLES12 / SLES_SAP12 ホストには、SUSE-SU-2022:3934-1 のアドバイザリに記載されている脆弱性の影響を受けるパッケージがインストールされています。

  - 4.6.3より前のバージョンの python-lxml の clean モジュールに XSS の脆弱性が見つかりました。safe_attrs_onlyとフォームの引数を無効にするとき、Cleanerクラスはformaction属性を削除しないため、JSがサニタイザーをバイパスする可能性があります。リモートの攻撃者がこの欠陥を悪用して、不適切にサニタイズされたHTMLとやり取りするユーザーに対して任意のJSコードを実行する可能性があります。この問題は、lxml 4.6.3でパッチされています。
    (CVE-2021-28957)

Nessus はこの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

検出

SUSE SLES12のセキュリティ更新プログラム: python3-lxml (SUSE-SU-2022:3934-1)

medium Nessus プラグイン ID 167326

バージョン 1.2