https-nj.gov---CVE-2020-11023

تقرير الثغرة الأمنية للموقع الرسمي لنيوجيرسي

ثغرة XSS محتملة عند إلحاق HTML يحتوي على عناصر option.

قد يؤدي تمرير HTML يحتوي على عناصر <option> من مصادر غير موثوقة - حتى بعد تعقيمها - إلى إحدى طرق معالجة DOM في jQuery (أي .html() و.append() وغيرها) إلى تنفيذ كود غير موثوق.

التوصية

تم إصلاح هذه المشكلة في jQuery 3.5.0؛ لذلك، سيكون من الضروري فقط تحديثه. لإصلاح هذا الخلل دون تحديثه، يمكننا استخدام DOMPurify مع خيار SAFE_FOR_JQUERY الخاص به لتعقيم سلسلة HTML قبل تمريرها إلى إحدى طرق jQuery.

يلزم على الأقل jQuery 1.12/2.2 أو أحدث لتطبيق هذا الحل البديل.

المراجع

https://blog.jquery.com/2020/04/10/jquery-3-5-0-released/

لمزيد من المعلومات