Jinja: from_string 함수에 명령 주입(SSTI)

해당 리포지토리와 CVE를 만든 사용자는 그들이 말하는 내용을 모르고 있으며 불행히도 이제 공식적으로 들리지 않는 방식으로 무책임하게 많은 사람들에게 무책임하게 통지했기 때문에 계속 해결해야 합니다. . 이에 대한 응답은 https://github.com/JameelNabbo/Jinja2-Code-execution/issues/1 을 참조

from_string 이 존재하기 때문에 Jina가 취약점이 있다고 말하는 것은 eval 가 존재하기 때문에 모든 동적 언어가 취약하거나 SQL 문자열을 평가하기 때문에 모든 SQL 라이브러리가 취약하다고 말하는 것과 같습니다. 문제는 사용자 입력을 처리하기 위한 적절한 도구를 모두 제공하는 라이브러리에 있는 것이 아닙니다. SQL 라이브러리에는 인젝션 취약점이 없으며, SQL 라이브러리를 부적절하게 사용하는 프로젝트에는 인젝션 취약점이 있습니다.

여전히 신뢰할 수 없는 템플릿을 컴파일하는 위험을 감수하려면 SandboxedEnvironment 사용해야 하고, 신뢰할 수 없는 변수를 렌더링할 때는 autoescape 사용해야 합니다.