https-nj.gov---CVE-2020-11022

ニュージャージー州公式サイトの脆弱性レポート

jQuery.htmlPrefilter および関連メソッドにおける潜在的な XSS 脆弱性。

信頼できないソースからの HTML を（サニタイズ後であっても）jQuery の DOM 操作メソッド（.html()、.append() など）に渡すと、信頼できないコードが実行される可能性があります。

推奨事項

この問題は jQuery 3.5.0 で修正されています。したがって、更新するだけで十分です。

更新せずにこのバグを修正するには、次のコードを追加します。

  jQuery.htmlPrefilter = function( html ) {
    return html;
  };

この回避策を適用するには、jQuery 1.12/2.2 以降が必要です。

参照

https://blog.jquery.com/2020/04/10/jquery-3-5-0-released/ https://jquery.com/upgrade-guide/3.5/

詳細情報

このアドバイザリについて質問やコメントがある場合は、jQuery リポジトリ で関連する issue を検索してください。回答が見つからない場合は、新しい issue を開いてください。