リモートの Azure Linux 3.0 ホストにインストールされている nodejs / nodejs18 / python-jinja2 のバージョンは、テストされたバージョンより前です。したがって、CVE-2024-22195 のアドバイザリに記載されている脆弱性の影響を受けます。

  - Jinja は、拡張可能なテンプレートエンジンです。テンプレートの特別なプレースホルダーにより、Python 構文に似たコードを記述できます。レンダリングされた HTML テンプレートに任意の HTML 属性を注入することが可能であり、クロスサイトスクリプティング (XSS) を引き起こす可能性があります。Jinja の「xmlattr」フィルターは、任意の HTML 属性キーおよび値を注入するために悪用される可能性があります。これにより、自動エスケープメカニズムがバイパスされ、XSS を引き起こす可能性があります。ブラックリストベースの場合、属性検証チェックをバイパスできる場合もあります。
    (CVE-2024-22195)

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

検出

Azure Linux 3.0 セキュリティ更新nodejs / nodejs18 / python-jinja2CVE-2024-22195

medium Nessus プラグイン ID 215517

バージョン 1.1