Lưu ý: Dữ liệu này chỉ có tính chất tham khảo, phục vụ nghiên cứu an ninh mạng.CyStack khuyến nghị người dùng không sử dụng các thông tin này nhằm các mục đích bất hợp pháp
Lỗ hổng CVE-2020-11022 là lỗ hổng Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting') ảnh hưởng tới jQuery (phiên bản bị ảnh hưởng: >= 1.12.0, < 3.5.0). Lỗ hổng này được xếp hạng ở mức Trung bình, với điểm CVSS 6.9. Lỗ hổng này đã có mã hoặc bằng chứng khai thác công khai, nhưng điều đó chưa xác nhận việc khai thác trong thực tế.
Trong jQuery bắt đầu từ phiên bản 1.12.0 và trước phiên bản 3.5.0, việc truyền HTML từ các nguồn không đáng tin cậy, ngay cả sau khi đã được sanitize, vào một trong các phương thức thao tác DOM của jQuery, tức là.html(),.append() và các phương thức khác, có thể thực thi mã không đáng tin cậy. Vấn đề này đã được vá trong jQuery 3.5.0.
Các facts của CNA xác định jQuery bị ảnh hưởng trong phạm vi >= 1.12.0, < 3.5.0. jQuery 3.5.0 là phiên bản đã được xác nhận là đã vá cho thư viện này. GitHub advisory cũng ánh xạ một số downstream package với ranh giới riêng: jquery-rails < 4.4.0, đã vá tại 4.4.0; maximebf/debugbar < 1.19.0, đã vá tại 1.19.0; và org.webjars.npm:jquery >= 1.12.0, < 3.5.0, đã vá tại 3.5.0. Bằng chứng được cung cấp cũng có CPE enrichment của NVD bắt đầu từ 1.2, rộng hơn phạm vi CNA và không hoàn toàn nhất quán; vì vậy trạng thái của jQuery từ 1.2.x đến 1.11.x không được xác nhận bởi product facts của CNA.
htmlPrefilter cũ của jQuery dùng regular expression để chuyển đổi các thẻ tự đóng theo kiểu XHTML trước khi chuỗi được xử lý bởi các phương thức thao tác DOM. Nhóm jQuery xác nhận rằng một số trường hợp biên trong phép chuyển đổi này có thể làm biến đổi HTML đã được sanitize, khiến mã không đáng tin cậy được thực thi khi chuỗi kết quả được truyền vào các phương thức như .html() và .append(). Bản vá thay đổi htmlPrefilter để trả về nguyên trạng đầu vào, loại bỏ bước chuyển đổi gây rủi ro. Điều kiện khai thác phụ thuộc vào việc ứng dụng đưa HTML do người dùng kiểm soát hoặc HTML từ nguồn không đáng tin cậy vào các luồng xử lý này; route cụ thể và payload của từng ứng dụng không được xác định trong bằng chứng hiện có. Bản ghi được cung cấp cho thấy việc khai thác có thể thực hiện qua mạng, không yêu cầu quyền xác thực và cần user interaction.
Khi điều kiện xử lý phù hợp xảy ra, attacker-controlled HTML có thể dẫn đến script execution trong context của trang web. Hậu quả có thể gồm đọc dữ liệu mà trang truy cập được, thay đổi nội dung hoặc trạng thái trang, và thực hiện hành động trong phạm vi quyền của người dùng đang tương tác. Bản ghi chỉ ra scope có thể lan từ thư viện sang ứng dụng sử dụng nó và không chỉ ra tác động đến availability; lỗi này không tự nó chứng minh server-side code execution. Khả năng bị ảnh hưởng bị giới hạn ở các ứng dụng thực sự đưa HTML không đáng tin cậy vào các đường xử lý liên quan.
3.5.0, là phiên bản đã được xác nhận sửa lỗi, sau khi kiểm thử các thay đổi liên quan đến cách xử lý thẻ tự đóng và HTML không hợp lệ.jQuery.htmlPrefilter = function( html ) { return html; };. Workaround này chỉ phù hợp với các phiên bản hỗ trợ cách ghi đè đó, được advisory mô tả là ít nhất jQuery 1.12 hoặc 2.2 trở lên, và phải được kiểm thử riêng trong ứng dụng.htmlPrefilter như một giải pháp bảo mật thay thế. Hướng dẫn nâng cấp của jQuery cảnh báo rằng việc khôi phục hành vi cũ sẽ làm mất security fix và regular HTML sanitizing có thể không đủ.jquery, components/jquery, jquery-rails, maximebf/debugbar và org.webjars.npm:jquery, sau đó đối chiếu phiên bản thực tế với phạm vi bị ảnh hưởng..html(), .append() và các phương thức thao tác DOM khác nhận HTML từ request, dữ liệu người dùng hoặc nguồn bên ngoài, kể cả sau bước sanitize.jQuery.htmlPrefilter hoặc khôi phục legacy prefilter, vì các thay đổi này có thể làm thay đổi hiệu quả của bản vá hoặc cách jQuery xử lý HTML.Giải pháp CyStack VulnScan liên tục phát hiện tài sản, xác minh lỗ hổng và giúp đội ngũ bảo mật ưu tiên khắc phục cho toàn bộ doanh nghiệp.
vi
