Vicent Martí Redcarpet 注入漏洞

漏洞介绍

Vicent Martí Redcarpet是Vicent Martí个人开发者的一个基于Rust可对Markdown语法进行解析的代码库。

Redcarpet before version 3.5.1 存在注入漏洞，该漏洞源于在处理引号时不会执行HTML转义。

漏洞补丁

目前厂商已发布升级了Vicent Martí Redcarpet 注入漏洞的补丁，Vicent Martí Redcarpet 注入漏洞的补丁获取链接：

https://github.com/vmg/redcarpet/commit/a699c82292b17c8e6a62e1914d5eccc252272793

参考网址

来源:MLIST

链接：https://lists.debian.org/debian-lts-announce/2021/01/msg00014.html

来源:DEBIAN

链接：https://www.debian.org/security/2021/dsa-4831

来源:CONFIRM

链接：https://github.com/advisories/GHSA-q3wr-qw3g-3p4h

来源:MISC

链接：https://github.com/vmg/redcarpet/commit/a699c82292b17c8e6a62e1914d5eccc252272793

来源:MISC

链接：https://github.com/vmg/redcarpet/blob/master/CHANGELOG.md#version-351-security

来源:MISC

链接：https://rubygems.org/gems/redcarpet

来源:vigilance.fr

链接：https://vigilance.fr/vulnerability/Redcarpet-Cross-Site-Scripting-via-Quotes-34356

来源:nvd.nist.gov

链接：https://nvd.nist.gov/vuln/detail/CVE-2020-26298

受影响实体

暂无

信息来源

http://www.cnnvd.org.cn/web/xxk/ldxqById.tag?CNNVD=CNNVD-202101-501