jQuery तक 3.3.x Property extend Pollution क्रॉस साइट स्क्रिप्टिंग

CVSS मेटा अस्थायी स्कोर	वर्तमान एक्सप्लॉइट मूल्य (≈)	CTI रुचि स्कोर
6.3	$0-$5k	0.00

सारांशजानकारी

एक जोखिम जिसे आलोचनात्मक के रूप में वर्गीकृत किया गया है, jQuery तक 3.3.x में पाया गया है। प्रभावित होता है फ़ंक्शन extend घटक Property Handler का। यह है, जो क्रॉस साइट स्क्रिप्टिंग (Pollution) की ओर ले जाती है। यह सुरक्षा कमजोरी CVE-2019-11358 के रूप में संदर्भित है। हमला दूरस्थ रूप से शुरू किया जा सकता है। अतिरिक्त रूप से, एक एक्सप्लॉइट मौजूद है. प्रभावित कंपोनेंट को अपग्रेड करना उचित रहेगा।

विवरणजानकारी

एक जोखिम जिसे आलोचनात्मक के रूप में वर्गीकृत किया गया है, jQuery तक 3.3.x में पाया गया है। प्रभावित होता है फ़ंक्शन extend घटक Property Handler का। यह है, जो क्रॉस साइट स्क्रिप्टिंग (Pollution) की ओर ले जाती है। CWE का सहारा लेकर समस्या घोषित करने से CWE-79 मिलता है। कमजोरी प्रकाशित की गई थी 20/04/2019 jQuery 3.4.0 Released के रूप में (वेबसाइट). blog.jquery.com पर एडवाइजरी डाउनलोड हेतु साझा की गई है।

यह सुरक्षा कमजोरी CVE-2019-11358 के रूप में संदर्भित है। 19/04/2019 को CVE असाइन किया गया था. हमला दूरस्थ रूप से शुरू किया जा सकता है। टेक्निकल डिटेल्स उपलब्ध हैं. इस भेद्यता की लोकप्रियता सामान्य स्तर से नीचे है। अतिरिक्त रूप से, एक एक्सप्लॉइट मौजूद है. इस एक्सप्लॉइट की जानकारी सार्वजनिक कर दी गई है और इसका इस्तेमाल किया जा सकता है। इस समय एक्सप्लॉइट का मौजूदा मूल्य करीब USD $0-$5k माना जा रहा है। MITRE ATT&CK परियोजना के अनुसार हमले की तकनीक T1059.007 है.

यह अवधारणा प्रमाण घोषित है। यह एक्सप्लॉइट डाउनलोड के लिए vuldb.com पर साझा किया गया है। 0-day के रूप में अनुमानित भूमिगत कीमत लगभग $0-$5k थी। एक्सप्लॉइट के लिए उपयोग किया गया सोर्स कोड:

jQuery.extend(true, {},
  JSON.parse('{"_proto_": {"test": true}}')
);
console.log( "test" in {} ); // true

वल्नरेबिलिटी स्कैनर Nessus 208606 आईडी वाला एक प्लगइन प्रदान करता है। वाणिज्यिक वल्नरेबिलिटी स्कैनर Qualys इस समस्या का परीक्षण 277829 प्लगइन से कर सकता है (Fedora Security Update for drupal8 (FEDORA-2019-1a3edd7e8a)).

इस समस्या का समाधान 3.4.0 संस्करण में अपग्रेड करने से किया जा सकता है। प्रभावित कंपोनेंट को अपग्रेड करना उचित रहेगा।

यह कमज़ोरी अन्य कमज़ोरी डेटाबेस में भी दर्ज है: SecurityFocus (BID 108023) , Tenable (208606).

उत्पादजानकारी

प्रकार

• JavaScript Library

नाम

• jQuery

संस्करण

• 3.0
• 3.1
• 3.2
• 3.3

लाइसेंस

• खुला स्रोत

वेबसाइट

• उत्पाद: https://github.com/jquery/jquery/

CPE 2.3जानकारी

• 🔍
• 🔍
• 🔍

CPE 2.2जानकारी

• 🔍
• 🔍
• 🔍

CVSSv4जानकारी

VulDB वेक्टर: 🔍
VulDB विश्वसनीयता: 🔍

CVSSv3जानकारी

VulDB मेटा बेस स्कोर: 6.6
VulDB मेटा अस्थायी स्कोर: 6.3

VulDB मूल स्कोर: 7.1
VulDB अस्थायी स्कोर: 6.4
VulDB वेक्टर: 🔍
VulDB विश्वसनीयता: 🔍

NVD मूल स्कोर: 6.1
NVD वेक्टर: 🔍

CVSSv2जानकारी

AV	AC	Au	C	I	A
💳	💳	💳	💳	💳	💳
💳	💳	💳	💳	💳	💳
💳	💳	💳	💳	💳	💳

सदिश	जटिलता	प्रमाणीकरण	गोपनीयता	अखंडता	उपलब्धता
अनलॉक करना	अनलॉक करना	अनलॉक करना	अनलॉक करना	अनलॉक करना	अनलॉक करना
अनलॉक करना	अनलॉक करना	अनलॉक करना	अनलॉक करना	अनलॉक करना	अनलॉक करना
अनलॉक करना	अनलॉक करना	अनलॉक करना	अनलॉक करना	अनलॉक करना	अनलॉक करना

VulDB मूल स्कोर: 🔍
VulDB अस्थायी स्कोर: 🔍
VulDB विश्वसनीयता: 🔍

NVD मूल स्कोर: 🔍

शोषणजानकारी

नाम: Pollution
वर्ग: क्रॉस साइट स्क्रिप्टिंग / Pollution
CWE: CWE-79 / CWE-94 / CWE-74
CAPEC: 🔍
ATT&CK: 🔍

भौतिक: नहीं
स्थानीय: नहीं
दूरस्थ: हाँ

उपलब्धता: 🔍
प्रवेश: सार्वजनिक
स्थिति: अवधारणा प्रमाण
डाउनलोड: 🔍

EPSS Score: 🔍
EPSS Percentile: 🔍

मूल्य पूर्वानुमान: 🔍
वर्तमान मूल्य अनुमान: 🔍

0-Day	अनलॉक करना	अनलॉक करना	अनलॉक करना	अनलॉक करना
आज	अनलॉक करना	अनलॉक करना	अनलॉक करना	अनलॉक करना

Nessus ID: 208606
Nessus नाम: CentOS 7 : pcs (RHSA-2022:7343)

Qualys ID: 🔍
Qualys नाम: 🔍

Exploit-DB: 🔍

खतरे की खुफियाजानकारी

रुचि: 🔍
सक्रिय अभिनेता: 🔍
सक्रिय APT समूह: 🔍

प्रतिव्यवस्थाजानकारी

सिफारिश: अपग्रेड
स्थिति: 🔍

0-दिवसीय समय: 🔍

अपग्रेड: jQuery 3.4.0
पैच: github.com

समयरेखाजानकारी

10/04/2019 🔍
19/04/2019 +9 दिन 🔍
20/04/2019 +1 दिन 🔍
20/04/2019 +0 दिन 🔍
22/06/2025 +2255 दिन 🔍

स्रोतजानकारी

उत्पाद: github.com

सलाह: jQuery 3.4.0 Released
स्थिति: पुष्टि की गई

CVE: CVE-2019-11358 (🔍)
GCVE (CVE): GCVE-0-2019-11358
GCVE (VulDB): GCVE-100-133882
SecurityFocus: 108023

scip Labs: https://www.scip.ch/en/?labs.20161013
यह भी देखें: 🔍

प्रविष्टिजानकारी

बनाया गया: 20/04/2019 10:11 AM
अद्यतनित: 22/06/2025 02:43 AM
परिवर्तन: 20/04/2019 10:11 AM (48), 05/03/2020 12:09 PM (21), 05/09/2023 12:25 AM (4), 05/09/2023 12:39 AM (1), 13/10/2024 01:29 PM (17), 22/06/2025 02:43 AM (1)
पूर्ण: 🔍
Cache ID: 216::103

If you want to get best quality of vulnerability data, you may have to visit VulDB.

चर्चा

Interested in the pricing of exploits?

See the underground prices here!