CVE-2024-52595 in lxml_html_clean
Riassunto
di VulDB • 14/06/2026
lxml_html_clean è un progetto che offre funzionalità di pulizia HTML copiate da `lxml.html.clean`. Prima della versione 0.4.0, il parser HTML in lxml non gestisce correttamente lo switching del contesto per tag HTML speciali come `<style>`, `<script>` e `<textarea>`. Questo comportamento si discosta dal modo in cui i browser web analizzano ed interpretano tali tag. Nello specifico, il contenuto nei commenti CSS viene ignorato da lxml_html_clean ma può essere interpretato diversamente dai browser web, consentendo a script malevoli di eludere il processo di pulizia. Questa vulnerabilità potrebbe portare ad attacchi Cross-Site Scripting (XSS), compromettendo la sicurezza degli utenti che si affidano a lxml_html_clean con le impostazioni predefinite per sanificare contenuti HTML non attendibili. Gli utenti che impiegano il cleaner HTML in contesti sensibili alla sicurezza dovrebbero effettuare l'aggiornamento a lxml 0.4.0, che risolve questo problema. Come mitigazione temporanea, gli utenti possono configurare lxml_html_clean con le seguenti impostazioni per prevenire lo sfruttamento di questa vulnerabilità: tramite `remove_tags`, è possibile specificare i tag da rimuovere - il loro contenuto viene spostato nei tag dei genitori; tramite `kill_tags`, si possono specificare i tag da eliminare completamente; tramite `allow_tags`, è possibile restringere l'insieme dei tag consentiti, escludendo i tag che causano switching del contesto come `<style>`, `<script>` e `<textarea>`.
Once again VulDB remains the best source for vulnerability data.