jQuery <= 1.11.3 DomXSS漏洞

作者：小小林熬夜学编程 | 2024-06-09 21:35:17

踩

jquery #9521 解决方案

听团里说WordPress又爆跨站漏洞了：“ XSS漏洞在Jetpack和二十五默认主题影响百万WordPress用户 ”，分析发现原来是jQuery老版本的DOM XSS漏洞【错误＃9521】。

11年dmethvin提交jQuery 1.6.1版本的Ticket＃9521，其原因是由$() | jQuery()预选的CSS选择器在其他情况下可用于创建HTML元素，如果编码不当（事实上很多编码不当的情况），将会导致产生DomXSS漏洞。

示例（jQuery 1.6.1）

<html>
<head>
<title>jQuery DomXSS test</title>
<script type="text/javascript" src="https://ajax.googleapis.com/ajax/libs/jquery/1.6.1/jquery.min.js"></script>
<script>
$(location.hash);
</script>
</head>
<body>
Hello, jQuery.
</body>
</html>

复制代码

WordPress默认主题二十一个例子

example.html 297-299行：

声明：本文内容由网友自发贡献，不代表【wpsshop博客】立场，版权归原作者所有，本站不承担相应法律责任。如您发现有侵权的内容，请联系我们。转载请注明出处：https://www.wpsshop.cn/w/小小林熬夜学编程/article/detail/695866