CVE-2020-11023
OrtaAktif istismar ediliyor (CISA KEV)
Açıklama
jQuery'nin 1.0.3 ve üzeri ile 3.5.0 öncesi sürümlerinde, güvenilmeyen kaynaklardan gelen ve <option> öğeleri içeren HTML içeriğinin -temizleme işleminden geçirilmiş olsa dahi- jQuery'nin DOM manipülasyon yöntemlerinden birine (örneğin .html(), .append() ve diğerleri) aktarılması, güvenilmeyen kodun çalıştırılmasına neden olabilir. Bu sorun jQuery 3.5.0 sürümünde giderilmiştir.
ÖnemOrta
CVSS6.9
İstismar olasılığı100. yüzdelik%84,9
Ürün
JQuery
Yayın29 Nis 2020
KEV'e eklenme23 Oca 2025
Zayıflık türüCWE-79Siteler arası betik (XSS)
Nasıl düzeltilir
CISA'nın istediği eylem
Üreticinin önerdiği önlemleri uygulayın. Önlem yoksa ürünü kullanmayı bırakın.
CISA son tarihi: 13 Şub 2025Güncelleyin
- jquery jquery3.5.0 ya da sonraki bir sürüm
- drupal drupal7.70, 8.7.14, 8.8.6 ya da sonraki bir sürüm
- oracle application_express20.2 ya da sonraki bir sürüm
- oracle blockchain_platform21.1.2 ya da sonraki bir sürüm
- oracle jd_edwards_enterpriseone_orchestrator9.2.5.0 ya da sonraki bir sürüm
- oracle jd_edwards_enterpriseone_tools9.2.5.0 ya da sonraki bir sürüm
- oracle oss_support_tools2.12.41 ya da sonraki bir sürüm
- tenable log_correlation_engine6.0.9 ya da sonraki bir sürüm
Üretici duyuruları
- debian.org/security/2020/dsa-4693
- lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/QPN2L2XVQGUA2V5HNQJWHK3APSK3VN7K/
- security.gentoo.org/glsa/202007-03
- lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/SFP4UK4EGP4AFH2MWYJ5A5Z4I7XVFQ6B/
- lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/AVKYXLWCLZBV2N7M46KYK4LVA5OXWPBY/
- lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/SAPQVX3XDNPGFT26QAQ6AJIXZZBZ4CD4/
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| jquery jquery | 1.0.3 ≤ v < 3.5.0 | 3.5.0 |
| debian debian_linux | 9.0 | — |
| fedoraproject fedora | 31, 32, 33 | — |
| drupal drupal | 7.0 ≤ v < 7.70, 8.7.0 ≤ v < 8.7.14, 8.8.0 ≤ v < 8.8.6 | 7.70, 8.7.14, 8.8.6 |
| oracle application_express | v < 20.2 | 20.2 |
| oracle application_testing_suite | 13.3.0.1 | — |
| oracle banking_enterprise_collections | 2.7.0 ≤ v ≤ 2.8.0 | — |
| oracle banking_platform | 2.4.0 ≤ v ≤ 2.10.0 | — |
| oracle blockchain_platform | v < 21.1.2, 21.1.2 | 21.1.2 |
| oracle business_intelligence | 5.9.0.0.0 | — |
| oracle communications_analytics | 12.1.1 | — |
| oracle communications_eagle_application_processor | 16.1.0 ≤ v ≤ 16.4.0 | — |
| oracle communications_element_manager | 8.1.1, 8.2.0, 8.2.1 | — |
| oracle communications_interactive_session_recorder | 6.1 ≤ v ≤ 6.4 | — |
| oracle communications_operations_monitor | 4.1 ≤ v ≤ 4.3, 3.4 | — |
| oracle communications_services_gatekeeper | 7.0 | — |
| oracle communications_session_report_manager | 8.1.1, 8.2.0, 8.2.1 | — |
| oracle communications_session_route_manager | 8.1.1, 8.2.0, 8.2.1 | — |
| oracle financial_services_regulatory_reporting_for_de_nederlandsche_bank | 8.0.4 | — |
| oracle financial_services_revenue_management_and_billing_analytics | 2.7, 2.8 | — |
| oracle health_sciences_inform | 6.3.0 | — |
| oracle healthcare_translational_research | 3.2.1, 3.3.1, 3.3.2, 3.4.0 | — |
| oracle hyperion_financial_reporting | 11.1.2.4 | — |
| oracle jd_edwards_enterpriseone_orchestrator | v < 9.2.5.0 | 9.2.5.0 |
| oracle jd_edwards_enterpriseone_tools | v < 9.2.5.0 | 9.2.5.0 |
| oracle oss_support_tools | v < 2.12.41 | 2.12.41 |
| oracle peoplesoft_enterprise_human_capital_management_resources | 9.2 | — |
| oracle primavera_gateway | 16.2 ≤ v ≤ 16.2.11, 17.12.0 ≤ v ≤ 17.12.7, 18.8.0 ≤ v ≤ 18.8.9, 19.12.0 ≤ v ≤ 19.12.4 | — |
| oracle rest_data_services | 11.2.0.4, 12.1.0.2, 12.2.0.1, 18c, 19c | — |
| oracle siebel_mobile | v ≤ 20.12 | — |
| oracle storagetek_acsls | 8.5.1 | — |
| oracle storagetek_tape_analytics_sw_tool | 2.3.1 | — |
| oracle webcenter_sites | 12.2.1.3.0, 12.2.1.4.0 | — |
| oracle weblogic_server | 12.1.3.0.0, 12.2.1.3.0, 12.2.1.4.0, 14.1.1.0.0 | — |
| netapp h300s_firmware | Aralık belirtilmemiş | — |
| netapp h500s_firmware | Aralık belirtilmemiş | — |
| netapp h700s_firmware | Aralık belirtilmemiş | — |
| netapp h300e_firmware | Aralık belirtilmemiş | — |
| netapp h500e_firmware | Aralık belirtilmemiş | — |
| netapp h700e_firmware | Aralık belirtilmemiş | — |
| netapp h410s_firmware | Aralık belirtilmemiş | — |
| netapp h410c_firmware | Aralık belirtilmemiş | — |
| netapp active_iq_unified_manager | Aralık belirtilmemiş | — |
| netapp cloud_backup | Aralık belirtilmemiş | — |
| netapp cloud_insights_storage_workload_security_agent | Aralık belirtilmemiş | — |
| netapp hci_baseboard_management_controller | Aralık belirtilmemiş | — |
| netapp max_data | Aralık belirtilmemiş | — |
| netapp oncommand_insight | Aralık belirtilmemiş | — |
| netapp oncommand_system_manager | 3.0 ≤ v ≤ 3.1.3 | — |
| netapp snap_creator_framework | Aralık belirtilmemiş | — |
| netapp snapcenter_server | Aralık belirtilmemiş | — |
| tenable log_correlation_engine | v < 6.0.9 | 6.0.9 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Intelligence 360 paketinde
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.