https-nj.gov---CVE-2020-11022

Rapport de vulnérabilité du site officiel du New Jersey

Vulnérabilité XSS potentielle dans jQuery.htmlPrefilter et méthodes associées.

Passer du HTML provenant de sources non fiables - même après l'avoir nettoyé - à l'une des méthodes de manipulation du DOM de jQuery (c'est-à-dire .html(), .append(), etc.) peut exécuter du code non fiable.

RECOMMANDATION

Ce problème est corrigé dans jQuery 3.5.0 ; il suffit donc de le mettre à jour.

Pour corriger ce bogue sans le mettre à jour, nous pouvons ajouter le code suivant :

  jQuery.htmlPrefilter = function( html ) {
    return html;
  };

Au moins jQuery 1.12/2.2 ou une version ultérieure est nécessaire pour appliquer cette solution de contournement.

RÉFÉRENCES

https://blog.jquery.com/2020/04/10/jquery-3-5-0-released/ https://jquery.com/upgrade-guide/3.5/

Pour plus d'informations

Si vous avez des questions ou des commentaires à propos de cet avis, recherchez un problème pertinent dans le dépôt jQuery. Si vous ne trouvez pas de réponse, ouvrez un nouveau problème.