jQuery 1.x是否容易受到"非显式数据类型跨站点脚本"的攻击？

Question

我们最近收到了来自https://nospam_srcclr.com的以下电子邮件(删除nospam_作为真实URL).

感谢您的及时答复.我们已经确定[我们的项目]容易受到JQuery的跨站点脚本漏洞攻击.

https://nospam_srcclr.com/security/cross-site-scripting-xss-through-execution-non-explicit-data-type/javascript/sid-2250/fix

此项目中包含JQuery版本1.11.3的副本.通过执行非显式数据类型,JQuery很容易受到跨站点脚本的攻击.这里可以看到[我们项目]中使用的易受攻击的代码部分.

为了缓解此问题,我们建议将JQuery升级到3.0.0.

jQuery 1.x实际上是不安全的吗？

Answer 1

如果你没有untrusted通过ajax 从另一个域获取任何javascript ,它仍然是安全的.

如果你这样做,你可以手动将这个简单的补丁应用到你当前的jquery:

https://github.com/jquery/jquery/commit/b078a62013782c7424a4a61a240c23c4c0b42614