https-nj.gov---CVE-2020-11022

新泽西州官方网站漏洞报告

jQuery.htmlPrefilter 及相关方法中的潜在 XSS 漏洞。

将来自不受信任来源的 HTML（即使经过消毒处理）传递给 jQuery 的 DOM 操作方法（例如 .html()、.append() 等）可能会执行不受信任的代码。

建议

此问题已在 jQuery 3.5.0 中修复；因此，只需更新即可。

要修复此错误而不更新，我们可以添加以下代码：

  jQuery.htmlPrefilter = function( html ) {
    return html;
  };

应用此解决方法至少需要 jQuery 1.12/2.2 或更高版本。

参考

https://blog.jquery.com/2020/04/10/jquery-3-5-0-released/ https://jquery.com/upgrade-guide/3.5/

更多信息

如果您对此公告有任何问题或意见，请在 jQuery 仓库 中搜索相关问题。如果找不到答案，请新建一个 issue。