使用 Semgrep 扫描的 Jquery 3.6.0 漏洞

Jquery 3.6.0 vulnerability using Semgrep scanning

提问人：snowfrost 提问时间：10/30/2023 最后编辑：Rory McCrossansnowfrost 更新时间：10/30/2023 访问量：115

问：

最近我做了一个代码扫描，报告了一些漏洞，用于我的网站的jquery.js。版本为 3.6.0。

  • 存在带有用户输入的括号对象表示法，这可能允许攻击者访问对象的所有属性，甚至是其原型，从而导致可能的代码执行。 例如：

    a)Expr.pseudos[i] = createButtonPseudo(i);

    b)for (i = 0, l = events[type].length; i < l; i++) {

这是否被视为虚假漏洞？还是升级到最新版本会解决问题？谢谢。

JavaScript jQuery 安全性

评论

0赞 Rory McCrossan 10/30/2023
此漏洞突出显示了用于访问 POJS 对象的用户输入。它与jQuery无关，因此升级库不太可能有所作为 - 除非删除这些代码行，这同样不太可能。有关此漏洞的详细信息，请参阅以下参考：github.com/eslint-community/eslint-plugin-security/blob/main/...
0赞 snowfrost 10/31/2023
明白了。清理用户输入是否解决了此漏洞，因为我们无法从 jquery 端更改任何内容？
0赞 Rory McCrossan 10/31/2023
是的，这就是在这种情况下你能做的一切。

答： 暂无答案

上一个：对 Window.Open 上的受限目录的路径名限制不当（“路径遍历”）

下一个：如何解决这个安全漏洞？