CVE-2021-23980

Versões do Bleach anteriores à 3.3.0

Um ataque XSS de mutação afeta usuários que chamam bleach.clean com tags permitidas específicas e o argumento de palavra-chave strip comments=False. Essa vulnerabilidade pode permitir que um invasor remoto comprometa a confidencialidade e a integridade das informações protegidas. As tags afetadas incluem svg, math, p, br, style, title, noscript, script, textarea, noframes, iframe ou xmp. Observe que nenhuma dessas tags está entre as tags permitidas por padrão e que strip comments tem o valor padrão True.

Para resolver o problema, os usuários são incentivados a atualizar para a versão 3.3.0 ou superior do Bleach. Como solução alternativa temporária, modifique as chamadas bleach.clean para pelo menos uma das seguintes opções:

Além disso, uma Política de Segurança de Conteúdo (Content-Security-Policy) robusta, sem unsafe-inline e unsafe-eval em script-src, também ajudará a mitigar o risco.