CVE-2026-34231
ŚrednieCVSS 6.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 14 - wyżej niż 14% wszystkich znanych CVE
Streszczenie
W pakiecie Slippers dla Django, tag szablonu {% attrs %} nie koduje danych wyjściowych, co prowadzi do podatności XSS. Atakujący może wstrzyknąć dowolny HTML lub JavaScript poprzez zmienną kontekstową.
Ocena ryzyka
Atakujący może wstrzyknąć złośliwy skrypt, który wykona się w przeglądarce ofiary, co może prowadzić do kradzieży danych lub przejęcia sesji.
Rekomendacja
Zaktualizuj pakiet Slippers do wersji 0.6.3 lub nowszej.
Oryginalny opis (angielski, źródło NVD)
Slippers is a UI component framework for Django. Prior to version 0.6.3, a Cross-Site Scripting (XSS) vulnerability exists in the {% attrs %} template tag of the slippers Django package. When a context variable containing untrusted data is passed to {% attrs %}, the value is interpolated into an HTML attribute string without escaping, allowing an attacker to break out of the attribute context and inject arbitrary HTML or JavaScript into the rendered page. This issue has been patched in version 0.6.3.