CVE-2020-11022
中已发布
jQuery 存在潜在的 XSS 漏洞
- 已发布
- 2020年4月29日
- 已更新
- 2026年4月13日
- 分配 CNA
- GitHub_M
- 观察到的证据
- 2021年4月14日
初级CVSS
6.9/ 10中
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:H/PR:N/UI:R/S:C/C:H/I:L/A:N99.2%
高 · 未来 30 天
- 百分位
- 99.9%
- 型号日期
- 2026年9月21日
EPSS 是统计估计，而不是确定性或影响衡量标准。将其与 CVSS、KEV 状态、暴露程度和您的环境相结合。
总结
在 jQuery 1.12.0 及之后至 3.5.0 之前的版本中，将来自不可信来源的 HTML（即使经过清理）传递给 jQuery 的 DOM 操作方法（即 .html()、.append() 等）可能会执行不可信代码。此问题已在 jQuery 3.5.0 中修复。
来源
4CVE-2020-11022的概念验证利用，这是jQuery 3.5.0以下版本中的基于DOM的XSS漏洞。演示通过.html()方法注入负载以触发跨站脚本。
新泽西州官方网站漏洞报告
快速拼凑的小东西，用于演示此CVE。
负责任的使用
仅在您拥有或有权测试的系统上使用漏洞信息。 Kitploit 链接到公共研究元数据，并且不存储漏洞代码或恶意负载。