https-nj.gov---CVE-2020-11022

Отчёт об уязвимости официального сайта Нью-Джерси

Потенциальная XSS-уязвимость в jQuery.htmlPrefilter и связанных методах.

Передача HTML из ненадёжных источников — даже после санитизации — в один из методов манипуляции DOM библиотеки jQuery (например, .html(), .append() и другие) может привести к выполнению недоверенного кода.

РЕКОМЕНДАЦИЯ

Эта проблема исправлена в jQuery 3.5.0; поэтому достаточно просто обновить её.

Чтобы исправить эту ошибку без обновления, можно добавить следующий код:

  jQuery.htmlPrefilter = function( html ) {
    return html;
  };

Для применения этого обходного решения требуется как минимум jQuery 1.12/2.2 или новее.

ССЫЛКИ

https://blog.jquery.com/2020/04/10/jquery-3-5-0-released/ https://jquery.com/upgrade-guide/3.5/

Дополнительная информация

Если у вас есть вопросы или замечания по этому бюллетеню, поищите соответствующий issue в репозитории jQuery. Если вы не нашли ответа, создайте новый issue.