OSSN/OSSN-0070

Bandit 1.1.0 以下版本未对问题报告中的 HTML 进行转义

Bandit 1.1.0 以下版本在 HTML 报告格式化程序中存在一个错误，该错误未对问题上下文片段中的 HTML 进行转义。如果 HTML 报告托管在 CI 管道中，这可能导致 XSS 攻击。

Bandit: < 1.1.0

Bandit 1.1.0 以下版本在 HTML 报告格式化程序中存在一个错误，该错误未对问题上下文片段中的 HTML 进行转义。由于源代码中的 HTML 会逐字复制到报告中，因此如果 HTML 报告托管在 CI 管道中，这可能导致 XSS 攻击。例如

 import subprocess
 subprocess.Popen("<script>alert(1)</script>", shell=True)

会导致 "<script>alert(1)</script>" 被插入到 HTML 报告中。此问题可能允许将任意代码注入到具有可访问 HTML 报告的 CI/CD 管道中，这些报告由 Bandit 运行生成。

将 bandit 更新到 1.1.0 或更高版本。