Anmelden
Deutsch English Español Polski
Kritisch

Bleach URI Scheme Restriction Bypass

  • Veröffentlicht: 07.03.2018
  • Aktualisiert: 11.10.2026 12:19

An issue was discovered in Bleach 2.1.x before 2.1.3. Attributes that have URI values weren't properly sanitized if the values contained character entities. Using character entities, it was possible to construct a URI value with a scheme that was not allowed that would slide through unsanitized.

Betroffene Software

Klicken Sie auf eine Technologie, um alle zugehörigen Schwachstellen anzuzeigen.

PlattformPaketAnfällige VersionenBehoben in
Python (PyPI) bleach >= 2.1.0, < 2.1.3 2.1.3

Verweise

CVSS-Wert 9.8/10
CVSS-Vektor
CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
Schwäche (CWE)
CWE-20
Plattform
Python (PyPI)
Paket
bleach
Veröffentlicht
07.03.2018
Aktualisiert
11.10.2026 12:19

Quellen und Lizenzen

OSV / GitHub Advisory Database - PYSEC-2018-51 - PyPA Advisory Database; CC BY 4.0

OSV / GitHub Advisory Database - GHSA-m9mq-p2f9-cfqv - CC BY 4.0

Schwachstellenhistorie: bleach

Alle veröffentlichten Schwachstellen dieses Pakets (Python (PyPI)), neueste zuerst. Zeigt, ob es ein einmaliger Ausrutscher ist oder ein Paket, das man im Auge behalten muss.

Einträge insgesamt
8
Erste → letzte
03.2018 06.2026
Ohne Fix
1
In Angriffen ausgenutzt
0

Verteilung nach Schweregrad

  • Kritisch 1
  • Hoch 1
  • Mittel 5
  • Niedrig 1

Veröffentlichungen pro Jahr

  1. Bleach clean() / Cleaner() fails to sanitize dangerous URI schemes in allowed formaction attributes
    Mittel · 6.1 ghsa-gj48-438w-jh9v < 6.4.0 6.4.0
  2. Bleach linkify(parse_email=True) CPU exhaustion via unbounded email regex scanning
    Mittel · 4.3 ghsa-g75f-g53v-794x = 6.3.0 keine Korrektur
  3. Bleach: URI sanitization allows disallowed URI schemes with Unicode > U+00A0 in output
    Niedrig · 0.0 ghsa-8rfp-98v4-mmr6 < 6.4.0 6.4.0
  4. Cross-site scripting in Bleach
    Mittel · 6.1 CVE-2021-23980 < 3.3.0 3.3.0
  5. regular expression denial-of-service (ReDoS) in Bleach
    Hoch · 7.5 CVE-2020-6817 < 3.1.4 3.1.4
  6. Bleach vulnerable to mutation XSS via whitelisted math or svg and raw tag
    Mittel · 6.1 CVE-2020-6816 < 3.1.2 3.1.2
  7. XSS in Bleach when noscript and raw tag whitelisted
    Mittel · 6.1 CVE-2020-6802 < 3.1.1 3.1.1
  8. Bleach URI Scheme Restriction Bypass dieser Eintrag
    Kritisch · 9.8 CVE-2018-7753 >= 2.1.0, < 2.1.3 2.1.3

Erkennen Sie Schwachstellen in Ihrer Anwendung

Mit der DockRay-Integration und aktivierter Softwareinventarisierung prüft DockRay gemeldete Komponentenversionen auf bekannte Schwachstellen und benachrichtigt Sie über bestätigte Treffer. Die Abdeckung hängt von der unterstützten Technologie und den verfügbaren Meldungen ab.

Anwendung verbinden
DockRay Newsletter

Anwendungssicherheit in Ihrem Postfach

Wichtige Schwachstellen, konkrete Empfehlungen und praktische Tipps für Ihre Anwendungen. Wählen Sie Ihre Technologien und verfolgen Sie, was für Ihr Projekt relevant ist.

  • Eine tägliche Zusammenfassung neuer Schwachstellen, auch kritischer.
  • Benachrichtigungen über wichtige Updates.
  • Praktische Tipps zur Sicherheit und Überwachung von Anwendungen.

Leer lassen, um Meldungen zu allen Technologien zu erhalten.

Datenschutzerklärung

Kostenlos anmelden. In jeder E-Mail mit einem Klick abmelden.