https-nj.gov---CVE-2020-11023

Relatório de Vulnerabilidade do site oficial de Nova Jersey

Potencial vulnerabilidade XSS ao anexar HTML contendo elementos option.

Passar HTML contendo elementos <option> de fontes não confiáveis - mesmo após sanitizá-los - para um dos métodos de manipulação DOM do jQuery (ou seja, .html(), .append() e outros) pode executar código não confiável.

RECOMENDAÇÃO

Este problema foi corrigido no jQuery 3.5.0; Portanto, seria necessário apenas atualizá-lo. Para corrigir este bug sem atualizá-lo, podemos usar o DOMPurify com sua opção SAFE_FOR_JQUERY para sanitizar a string HTML antes de passá-la para um método jQuery.

É necessário pelo menos jQuery 1.12/2.2 ou posterior para aplicar esta solução alternativa.

REFERÊNCIAS

https://blog.jquery.com/2020/04/10/jquery-3-5-0-released/

Para mais informações

Se você tiver alguma dúvida ou comentário sobre este aviso, procure por um problema relevante no repositório do jQuery. Se não encontrar uma resposta, abra um novo problema.