CVE-2021-41183
ŚrednieCVSS 6.5Prawdopodobieństwo exploitacji (EPSS)
Bardzo wysokie ryzykoPercentyl 95 - wyżej niż 95% wszystkich znanych CVE
Streszczenie
jQuery UI przed wersją 1.13.0 jest podatny na wykonanie nieautoryzowanego kodu, gdy wartości różnych opcji `*Text` widżetu Datepicker pochodzą z niezaufanego źródła. Problem został naprawiony w wersji 1.13.0, gdzie wartości przekazywane do opcji `*Text` są zawsze traktowane jako czysty tekst, a nie HTML.
Ocena ryzyka
Ryzyko polega na możliwości wykonania złośliwego kodu w przeglądarce użytkownika, co może prowadzić do kradzieży danych, przejęcia sesji lub innych ataków.
Rekomendacja
Zaleca się aktualizację jQuery UI do wersji 1.13.0 lub nowszej. Jeśli nie jest to możliwe, należy unikać przekazywania wartości opcji `*Text` z niezaufanych źródeł.
Oryginalny opis (angielski, źródło NVD)
jQuery-UI is the official jQuery user interface library. Prior to version 1.13.0, accepting the value of various `*Text` options of the Datepicker widget from untrusted sources may execute untrusted code. The issue is fixed in jQuery UI 1.13.0. The values passed to various `*Text` options are now always treated as pure text, not HTML. A workaround is to not accept the value of the `*Text` options from untrusted sources.