jQuery तक 2.2.4 dataType script.js Cross-Domain क्रॉस साइट स्क्रिप्टिंग

CVSS मेटा अस्थायी स्कोर	वर्तमान एक्सप्लॉइट मूल्य (≈)	CTI रुचि स्कोर
4.9	$0-$5k	0.00

सारांशजानकारी

एक कमजोरि जिसे समस्याग्रस्त के रूप में वर्गीकृत किया गया है, jQuery तक 2.2.4 में पाई गई है। प्रभावित होता है कोई अज्ञात फ़ंक्शन फ़ाइल script.js का घटक dataType Handler का। यह हेरफेर क्रॉस साइट स्क्रिप्टिंग (Cross-Domain) उत्पन्न करता है। यह भेद्यता CVE-2015-9251 के रूप में जानी जाती है। दूरस्थ स्थान से हमला शुरू करना संभव है। कोई एक्सप्लॉइट नहीं मिला है. प्रभावित घटक को अपग्रेड करने की सिफारिश की जाती है।

विवरणजानकारी

एक कमजोरि जिसे समस्याग्रस्त के रूप में वर्गीकृत किया गया है, jQuery तक 2.2.4 में पाई गई है। प्रभावित होता है कोई अज्ञात फ़ंक्शन फ़ाइल script.js का घटक dataType Handler का। यह हेरफेर क्रॉस साइट स्क्रिप्टिंग (Cross-Domain) उत्पन्न करता है। CWE का उपयोग करके समस्या को घोषित करने से CWE-79 प्राप्त होता है। यह बग 27/06/2015 को खोजा गया था। कमजोरी प्रकाशित की गई थी 18/01/2018 द्वारा Julian Aubourg के रूप में f60729f3903d17917dc351f3ac87794de379b0cc के रूप में GIT Commit (GitHub Repository). यह सलाह github.com पर डाउनलोड के लिए साझा की गई है। सार्वजनिक रिलीज़ को विक्रेता के साथ समन्वित किया गया है।

यह भेद्यता CVE-2015-9251 के रूप में जानी जाती है। 18/01/2018 को CVE असाइन किया गया था. दूरस्थ स्थान से हमला शुरू करना संभव है। टेक्निकल डिटेल्स उपलब्ध हैं. इस भेद्यता की लोकप्रियता औसत से कम है। कोई एक्सप्लॉइट नहीं मिला है. अभी के लिए एक्सप्लॉइट की कीमत might be approx. USD $0-$5k है। यदि T1059.007 की लंबाई है, तो MITRE ATT&CK परियोजना इस हमले की तकनीक को T1059.007 के रूप में घोषित करती है।

इसे परिभाषित नहीं के रूप में घोषित किया गया है। इस भेद्यता को कम से कम 75 दिनों तक गैर-सार्वजनिक ज़ीरो-डे एक्सप्लॉइट के रूप में संभाला गया। 0-डे के लिए अनुमानित भूमिगत कीमत लगभग $0-$5k थी. वल्नरेबिलिटी स्कैनर Nessus ID 106657 वाला एक प्लगइन प्रदान करता है (JQuery 1.x < 1.12.0 / 2.x < 2.2.0 XSS), जो लक्ष्य वातावरण में खामी की उपस्थिति का पता लगाने में मदद करता है। इसे CGI abuses : XSS परिवार में असाइन किया गया है। प्लगइन r टाइप के कॉन्टेक्स्ट में रन हो रहा है।

इस समस्या का समाधान 3.0.0 संस्करण में अपग्रेड करने से किया जा सकता है। f60729f3903d17917dc351f3ac87794de379b0cc नामक पैच है। बगफिक्स डाउनलोड के लिए github.com पर उपलब्ध है। प्रभावित घटक को अपग्रेड करने की सिफारिश की जाती है। इस कमजोरी को निम्नलिखित कोड लाइनों द्वारा संबोधित किया जाएगा:

jQuery.ajaxPrefilter( function( s ) {
   if ( s.crossDomain ) {
      s.contents.script = false;
}

कमजोरी अन्य कमजोरी डेटाबेस में भी प्रलेखित है: SecurityFocus (BID 105658) , Tenable (106657).

उत्पादजानकारी

प्रकार

• JavaScript Library

नाम

• jQuery

संस्करण

• 1.0
• 1.1
• 1.2
• 1.3
• 1.4
• 1.5
• 1.6
• 1.6.0
• 1.6.1
• 1.6.2
• 1.6.3
• 1.6.4
• 1.7
• 1.7.0
• 1.7.1
• 1.7.2
• 1.8.0
• 1.8.1
• 2.0.0
• 2.0.1
• 2.0.2
• 2.0.3
• 2.1.0
• 2.1.1
• 2.1.2
• 2.1.3
• 2.1.4
• 2.2.0
• 2.2.1
• 2.2.2
• 2.2.3
• 2.2.4

लाइसेंस

• खुला स्रोत

वेबसाइट

• उत्पाद: https://github.com/jquery/jquery/

CPE 2.3जानकारी

• 🔍
• 🔍
• 🔍

CPE 2.2जानकारी

• 🔍
• 🔍
• 🔍

CVSSv4जानकारी

VulDB वेक्टर: 🔍
VulDB विश्वसनीयता: 🔍

CVSSv3जानकारी

VulDB मेटा बेस स्कोर: 5.2
VulDB मेटा अस्थायी स्कोर: 5.1

VulDB मूल स्कोर: 4.3
VulDB अस्थायी स्कोर: 4.1
VulDB वेक्टर: 🔍
VulDB विश्वसनीयता: 🔍

NVD मूल स्कोर: 6.1
NVD वेक्टर: 🔍

CVSSv2जानकारी

AV	AC	Au	C	I	A
💳	💳	💳	💳	💳	💳
💳	💳	💳	💳	💳	💳
💳	💳	💳	💳	💳	💳

सदिश	जटिलता	प्रमाणीकरण	गोपनीयता	अखंडता	उपलब्धता
अनलॉक करना	अनलॉक करना	अनलॉक करना	अनलॉक करना	अनलॉक करना	अनलॉक करना
अनलॉक करना	अनलॉक करना	अनलॉक करना	अनलॉक करना	अनलॉक करना	अनलॉक करना
अनलॉक करना	अनलॉक करना	अनलॉक करना	अनलॉक करना	अनलॉक करना	अनलॉक करना

VulDB मूल स्कोर: 🔍
VulDB अस्थायी स्कोर: 🔍
VulDB विश्वसनीयता: 🔍

NVD मूल स्कोर: 🔍

शोषणजानकारी

नाम: Cross-Domain
वर्ग: क्रॉस साइट स्क्रिप्टिंग / Cross-Domain
CWE: CWE-79 / CWE-94 / CWE-74
CAPEC: 🔍
ATT&CK: 🔍

भौतिक: नहीं
स्थानीय: नहीं
दूरस्थ: हाँ

उपलब्धता: 🔍
स्थिति: परिभाषित नहीं

EPSS Score: 🔍
EPSS Percentile: 🔍

मूल्य पूर्वानुमान: 🔍
वर्तमान मूल्य अनुमान: 🔍

0-Day	अनलॉक करना	अनलॉक करना	अनलॉक करना	अनलॉक करना
आज	अनलॉक करना	अनलॉक करना	अनलॉक करना	अनलॉक करना

Nessus ID: 106657
Nessus नाम: JQuery 1.x < 1.12.0 / 2.x < 2.2.0 XSS
Nessus Arquivo: 🔍
Nessus जोखिम: 🔍
Nessus परिवार: 🔍
Nessus Context: 🔍

खतरे की खुफियाजानकारी

रुचि: 🔍
सक्रिय अभिनेता: 🔍
सक्रिय APT समूह: 🔍

प्रतिव्यवस्थाजानकारी

सिफारिश: अपग्रेड
स्थिति: 🔍

0-दिवसीय समय: 🔍

अपग्रेड: jQuery 3.0.0
पैच: f60729f3903d17917dc351f3ac87794de379b0cc

समयरेखाजानकारी

27/06/2015 🔍
10/09/2015 +75 दिन 🔍
18/01/2018 +861 दिन 🔍
18/01/2018 +0 दिन 🔍
18/01/2018 +0 दिन 🔍
18/01/2018 +0 दिन 🔍
19/01/2018 +1 दिन 🔍
07/02/2018 +19 दिन 🔍
04/12/2024 +2492 दिन 🔍

स्रोतजानकारी

उत्पाद: github.com

सलाह: f60729f3903d17917dc351f3ac87794de379b0cc
शोधकर्ता: Julian Aubourg
स्थिति: पुष्टि की गई
पुष्टि: 🔍
समन्वित: 🔍

CVE: CVE-2015-9251 (🔍)
GCVE (CVE): GCVE-0-2015-9251
GCVE (VulDB): GCVE-100-112187
SecurityFocus: 105658 - JQuery CVE-2015-9251 Cross Site Scripting Vulnerability

यह भी देखें: 🔍

प्रविष्टिजानकारी

बनाया गया: 19/01/2018 07:50 AM
अद्यतनित: 04/12/2024 09:03 AM
परिवर्तन: 19/01/2018 07:50 AM (78), 11/01/2020 08:48 AM (8), 04/12/2024 09:03 AM (1)
पूर्ण: 🔍
संपादक: Anonymous User
Cache ID: 216::103

Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.

चर्चा

Want to know what is going to be exploited?

We predict KEV entries!