آژانس امنیت سایبری و امنیت زیرساخت‌های آمریکا (CISA) روز پنج‌شنبه آسیب‌پذیری امنیتی رفع‌شده‌ای که کتابخانه جاوااسکریپت محبوب jQuery را تحت تأثیر قرار می‌دهد، بر اساس شواهد سوءاستفاده فعال، به فهرست آسیب‌پذیری‌های شناخته‌شده مورد سوءاستفاده (KEV) خود اضافه کرد. این آسیب‌پذیری با شدت متوسط CVE-2020-11023 (امتیاز CVSS: 6.1/6.9) است که یک باگ اسکریپت‌نویسی متقابل سایت (XSS) تقریباً پنج ساله محسوب می‌شود و می‌تواند برای اجرای کد دلخواه مورد سوءاستفاده قرار گیرد.
بر اساس مشاوره GitHub منتشرشده برای این نقص، “ارسال HTML حاوی عناصر از منابع غیرقابل اعتماد – حتی پس از پاکسازی آن‌ها – به یکی از روش‌های دستکاری DOM در jQuery ممکن است کد غیرقابل اعتماد را اجرا کند.” این مشکل در نسخه 3.5.0 jQuery که در آپریل 2020 منتشر شد، برطرف گردید. شرکت امنیتی هلندی EclecticIQ در فوریه 2024 فاش کرد که آدرس‌های فرماندهی و کنترل (C2) مرتبط با کمپین مخربی که از نقص‌های امنیتی در دستگاه‌های Ivanti سوءاستفاده می‌کرد، نسخه‌ای از jQuery اجرا می‌کردند که حداقل در برابر یکی از سه نقص آسیب‌پذیر بود. آژانس‌های شاخه اجرایی فدرال غیرنظامی توصیه شده‌اند تا 13 فوریه 2025 این نقص شناسایی‌شده را برطرف کنند.
کلمات کلیدی : آسیب‌پذیری امنیتی, jQuery, XSS, CISA, CVE-2020-11023, امنیت سایبری
نظر شما چیست؟
خوشحال می‌شویم نظر شما را بدانیم. نظری بنویسید.