CVE-2021-41183
ŚrednieCVSS 6.5Prawdopodobieństwo exploitacji (EPSS)
Bardzo wysokie ryzykoPercentyl 95 - wyżej niż 95% wszystkich znanych CVE
Streszczenie
jQuery UI przed wersją 1.13.0 jest podatny na wykonanie nieautoryzowanego kodu, gdy wartości różnych opcji `*Text` widżetu Datepicker pochodzą z niezaufanego źródła. Problem został naprawiony w wersji 1.13.0, gdzie wartości przekazywane do opcji `*Text` są zawsze traktowane jako czysty tekst, a nie HTML.
Ocena ryzyka
Ryzyko polega na możliwości wykonania złośliwego kodu w przeglądarce użytkownika, co może prowadzić do kradzieży danych, przejęcia sesji lub innych ataków.
Rekomendacja
Zaleca się aktualizację jQuery UI do wersji 1.13.0 lub nowszej. Jeśli nie jest to możliwe, należy unikać przekazywania wartości opcji `*Text` z niezaufanych źródeł.
Inne podatności w jQuery UI
Zobacz wszystkie- CVE-2021-41184Średnie
jQuery UI przed wersją 1.13.0 jest podatny na wykonanie nieautoryzowanego kodu, gdy wartość opcji `of` w metodzie `.position()` pochodzi z niezaufanego źródła. Problem został naprawiony w wersji 1.13.0, gdzie każda wartość przekazana do opcji `of` jest traktowana jako selektor CSS.
- CVE-2021-41182Średnie
jQuery UI przed wersją 1.13.0 jest podatny na wykonanie nieautoryzowanego kodu, gdy wartość opcji `altField` widżetu Datepicker pochodzi z niezaufanego źródła. Problem został naprawiony w wersji 1.13.0, gdzie każda wartość przekazana do opcji `altField` jest traktowana jako selektor CSS.
Oryginalny opis (angielski, źródło NVD)
jQuery-UI is the official jQuery user interface library. Prior to version 1.13.0, accepting the value of various `*Text` options of the Datepicker widget from untrusted sources may execute untrusted code. The issue is fixed in jQuery UI 1.13.0. The values passed to various `*Text` options are now always treated as pure text, not HTML. A workaround is to not accept the value of the `*Text` options from untrusted sources.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS