python-bleach是一個基于白名單、通過轉義或去除標簽和屬性的方式，國內服務器租用服務器托管，來對HTML文本凈化的python庫。

4月6日,Debian發布了安全更新,修復了HTML清理庫python bleach 中發現的跨站點腳本漏洞。以下是漏洞詳情：

漏洞詳情

來源：https://lists.debian.org/debian-lts-announce/2021/04/msg00006.html

CVE-2021-23980 嚴重程度: 重要

XSS攻擊通常指的是通過利用網頁開發時留下的漏洞，通過巧妙的方法注入惡意指令代碼到網頁，使用戶加載并執行攻擊者惡意制造的網頁程序。

在python bleach中發現存在跨站點腳本（XSS)漏洞。通過允許的數學或svg；p或br; 和樣式，標題，noscript,腳本，textarea，noframes，云服務器租用，iframe或帶有strip_comments = False的xmp標簽造成XSS攻擊。

受影響產品及版本

上述漏洞影響Debian9 Stretch python-bleach 2.0-1 + deb9u1之前版本

解決方案

對于Debian 9 Stretch，此問題已在版本python-bleach 2.0-1 + deb9u1中修復,建議及時更新python-bleach軟件包。