Otomatik kaçış devre dışı (ARCH2134)

Anahtar python.security.disabled-auto-escape · Önem warning · Kategori security · CWE CWE-79

Şablon motorunda otomatik kaçışı (auto-escaping) kapatmak, tüm çıktılar için varsayılan XSS korumasını kaldırır. Kullanıcı verisi ham HTML olarak işlenir ve siteler arası betik çalıştırma riski oluşur.

Hatalı

from jinja2 import Environment, FileSystemLoader

env = Environment(loader=FileSystemLoader("templates"),
                  autoescape=False)

Doğru

from jinja2 import Environment, FileSystemLoader, select_autoescape

env = Environment(loader=FileSystemLoader("templates"),
                  autoescape=select_autoescape(["html", "xml"]))

Düzeltme

Otomatik kaçışı açık tutun; HTML/XML şablonları için select_autoescape kullanın.