漏洞标题
aiohttp在处理静态文件时，index页面存在XSS漏洞。
漏洞描述信息
aiohttp是一个用于asyncio和Python的异步HTTP客户端/服务器框架。静态文件处理的索引页面上存在一个XSS漏洞。此漏洞已在3.9.4中修复。我们一直建议使用反向代理服务器（如nginx）来提供静态文件。遵循这一建议的用户不会受到影响。对于无法升级的其他用户，可以禁用`show_index`。
CVSS信息
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N
漏洞类别
在Web页面生成时对输入的转义处理不恰当(跨站脚本)
漏洞标题
aiohttp vulnerable to XSS on index pages for static file handling
漏洞描述信息
aiohttp is an asynchronous HTTP client/server framework for asyncio and Python. A XSS vulnerability exists on index pages for static file handling. This vulnerability is fixed in 3.9.4. We have always recommended using a reverse proxy server (e.g. nginx) for serving static files. Users following the recommendation are unaffected. Other users can disable `show_index` if unable to upgrade.
CVSS信息
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N
漏洞类别
在Web页面生成时对输入的转义处理不恰当(跨站脚本)
漏洞标题
aiohttp 跨站脚本漏洞
漏洞描述信息
aiohttp是一个开源的用于 asyncio 和 Python 的异步 HTTP 客户端/服务器框架。 aiohttp 3.9.4之前版本存在跨站脚本漏洞，该漏洞源于使用web.static(..., show_index=True)时，生成的索引页不会转义文件名，导致服务器容易受到跨站脚本攻击。
CVSS信息
N/A
漏洞类别
跨站脚本