| パッケージ | 影響を受けるバージョン | 修正済みバージョン |
|---|---|---|
| nunjucks | ≤ 2.4.2 | |
| nunjucks | < 2.4.3 | 2.4.3 |
Affected versions of nunjucks do not properly escape specially structured user input in template vars when in auto-escape mode, resulting in a cross-site scripting vulnerability.
By using an array for the keys in a template var, escaping is bypassed.
name[]=<script>alert(1)</script>
A full PoC is available in the references section.
Update to version 2.4.3 or later.
これらの製品をお使いですか？サイトをスキャンして、脆弱なバージョンが公開されていないか確認しましょう。
無料でサイトをスキャン