Vulnerabilidad en Jinja (CVE-2024-34064)

Jinja es un motor de plantillas extensible. El filtro `xmlattr` en las versiones afectadas de Jinja acepta claves que contienen caracteres que no son de atributo. Los atributos XML/HTML no pueden contener espacios, `/`, `>` o `=`, ya que cada uno se interpretaría como el inicio de un atributo independiente. Si una aplicación acepta claves (en lugar de solo valores) como entrada del usuario y las muestra en páginas que otros usuarios también ven, un atacante podría usar esto para inyectar otros atributos y realizar XSS. La solución para CVE-2024-22195 solo abordaba los espacios, pero no otros caracteres. Aceptar claves como entrada del usuario ahora se considera explícitamente un caso de uso no intencionado del filtro `xmlattr`, y el código que lo hace sin validar la entrada debe marcarse como inseguro, independientemente de la versión de Jinja. Aceptar _valores_ como entrada del usuario sigue siendo seguro. Esta vulnerabilidad se soluciona en 3.1.4.