Aktywnie wykorzystywana w atakach
JQuery Cross-Site Scripting (XSS) Vulnerability
JQuery - JQuery · Figuruje w katalogu CISA KEV od 2025-01-23. Oznacza to potwierdzone ataki w środowisku produkcyjnym.
Wymagane działanie: Apply mitigations per vendor instructions or discontinue use of the product if mitigations are unavailable.
CVE-2020-11023
ŚrednieCVSS 6.9KEVStreszczenie
W jQuery w wersjach od 1.0.3 do przed 3.5.0 przekazanie HTML zawierającego elementy <option> z niezaufanych źródeł – nawet po oczyszczeniu – do jednej z metod manipulacji DOM (np. .html(), .append()) może wykonać niezaufany kod. Problem został naprawiony w jQuery 3.5.0.
Ocena ryzyka
Atakujący może wykonać dowolny kod JavaScript w kontekście przeglądarki ofiary, co może prowadzić do kradzieży danych lub przejęcia sesji.
Rekomendacja
Zaktualizuj jQuery do wersji 3.5.0 lub nowszej.
Inne podatności w jQuery
Oryginalny opis (angielski, źródło NVD)
In jQuery versions greater than or equal to 1.0.3 and before 3.5.0, passing HTML containing <option> elements from untrusted sources - even after sanitizing it - to one of jQuery's DOM manipulation methods (i.e. .html(), .append(), and others) may execute untrusted code. This problem is patched in jQuery 3.5.0.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS