注目★★★★★GitHub Advisory
Litestar 2.21.0、CSRF トークン経由の HTML インジェクション脆弱性
30秒で把握
- 1Litestar 2.21.0 で CSRF トークン経由の HTML インジェクション→XSS にエスカレート
- 2対象: テンプレート使用 + CSRF 保護 + hidden フィールド有効の構成のみ
- 3自動エスケープ除外が原因・ドキュメント推奨設定のままでも影響あり
要約
Litestar でテンプレートエンジン（Jinja・Mako・MiniJinja）と CSRF 保護を併用している場合、CSRF クッキーの内容がテンプレートエンジンの自動エスケープから除外されるため HTML インジェクションが成立する。この脆弱性は XSS にエスカレートする可能性がある。影響を受けるのは、テンプレートレンダリング・CSRF 保護有効・CSRF 入力（hidden フィールド）を同時に有効化している構成のみ。
あなたへの影響
Litestar でドキュメント推奨の CSRF 設定を使っているチームは、テンプレートへの CSRF トークン挿入箇所でエスケープ処理が適用されているか即確認を。
推奨：修正バージョンへのアップグレードが適用可能になり次第、対応を優先すること。