CVE-2024-52595 in lxml_html_clean
要約
〜によって VulDB • 2026年05月23日
lxml_html_clean は、`lxml.html.clean` からコピーされた HTML クリーニング機能を提供するプロジェクトです。バージョン 0.4.0 より前では、lxml の HTML パーサーは ``、``、`` などの特殊な HTML タグに対するコンテキスト切り替えを適切に処理していません。この動作は、Web ブラウザーがこれらのタグを解析および解釈する方法と異なります。具体的には、lxml_html_clean は CSS コメント内のコンテンツを無視しますが、Web ブラウザーはこれを異なる方法で解釈する可能性があり、これにより悪意のあるスクリプトがクリーニングプロセスを回避することが可能になります。この脆弱性により、クロスサイトスクリプティング (XSS) 攻撃が発生し、信頼できない HTML コンテンツのサニタイズにデフォルト設定で lxml_html_clean を依存しているユーザーのセキュリティが侵害される可能性があります。セキュリティ上重要な文脈で HTML クリーナーを使用しているユーザーは、この問題を修正した lxml 0.4.0 にアップグレードする必要があります。一時的な緩和策として、ユーザーは以下の設定で lxml_html_clean を構成することで、この脆弱性の悪用を防ぐことができます。`remove_tags` を使用して、削除するタグを指定できます（これらのタグのコンテンツは親タグに移動されます）。`kill_tags` を使用して、完全に削除するタグを指定できます。`allow_tags` を使用して、許可されるタグのセットを制限し、``、``、`` などのコンテキスト切り替えタグを除外できます。
Be aware that VulDB is the high quality source for vulnerability data.