Potential XSS vulnerability in jQuery

中 6.1悪用確認済み（CISA KEV）CVE-2020-11023 · BIT-drupal-2020-11023 · GHSA-jpcq-cgw6-v4j6 · 29/04/2020 公開 · 17/06/2026 更新

JQuery Cross-Site Scripting (XSS) Vulnerability. 悪用が確認されています：CISA は 23/01/2025 にこの脆弱性を「既知の悪用された脆弱性（KEV）」カタログに追加しました。影響を受けるシステムは緊急に修正してください。

要点

CVE-2020-11023 は org.webjars.npm:jquery, jQuery, components/jquery に影響する深刻度「中」 (CVSS 6.1) の脆弱性です。
実際に悪用されています：CISA が 23/01/2025 に KEV カタログへ追加しました。
今後30日間に悪用される確率（EPSS）：84.9%（全脆弱性の 99.7% より高い）。
対処：3.5.0, 4.4.0, 7.70, 8.7.14 以降に更新してください。

パッケージ	影響を受けるバージョン	修正済みバージョン
org.webjars.npm:jquery Maven	`≥ 1.0.3, < 3.5.0`	`3.5.0`
jQuery NuGet	`≥ 1.0.3, < 3.5.0`	`3.5.0`
components/jquery Packagist	`≥ 1.0.3, < 3.5.0`	`3.5.0`
jquery-rails RubyGems	`< 4.4.0`	`4.4.0`
drupal drupal	`≥ 7.0, < 7.70≥ 8.7.0, < 8.7.14≥ 8.8.0, < 8.8.6`	`7.708.7.148.8.6`
jquery jquery	`≥ 1.0.3, < 3.5.0`	`3.5.0`
oncommand system manager netapp	`≥ 3.0, ≤ 3.1.3`	修正版なし
application express oracle	`< 20.2`	`20.2`
application testing suite oracle	`= 13.3.0.1`	修正版なし
banking enterprise collections oracle	`≥ 2.7.0, ≤ 2.8.0`	修正版なし
banking platform oracle	`≥ 2.4.0, ≤ 2.10.0`	修正版なし
blockchain platform oracle	`= 21.1.2< 21.1.2`	`21.1.2`
business intelligence oracle	`= 5.9.0.0.0`	修正版なし
communications analytics oracle	`= 12.1.1`	修正版なし
communications eagle application processor oracle	`≥ 16.1.0, ≤ 16.4.0`	修正版なし
communications element manager oracle	`= 8.1.1= 8.2.0= 8.2.1`	修正版なし
communications interactive session recorder oracle	`≥ 6.1, ≤ 6.4`	修正版なし
communications operations monitor oracle	`= 3.4≥ 4.1, ≤ 4.3`	修正版なし
communications services gatekeeper oracle	`= 7.0`	修正版なし
communications session report manager oracle	`= 8.1.1= 8.2.0= 8.2.1`	修正版なし
communications session route manager oracle	`= 8.1.1= 8.2.0= 8.2.1`	修正版なし
financial services regulatory reporting for de nederlandsche bank oracle	`= 8.0.4`	修正版なし
financial services revenue management and billing analytics oracle	`= 2.7= 2.8`	修正版なし
health sciences inform oracle	`= 6.3.0`	修正版なし
healthcare translational research oracle	`= 3.2.1= 3.3.1= 3.3.2= 3.4.0`	修正版なし
hyperion financial reporting oracle	`= 11.1.2.4`	修正版なし
jd edwards enterpriseone orchestrator oracle	`< 9.2.5.0`	`9.2.5.0`
jd edwards enterpriseone tools oracle	`< 9.2.5.0`	`9.2.5.0`
oss support tools oracle	`< 2.12.41`	`2.12.41`
peoplesoft enterprise human capital management resources oracle	`= 9.2`	修正版なし
primavera gateway oracle	`≥ 16.2, ≤ 16.2.11≥ 17.12.0, ≤ 17.12.7≥ 18.8.0, ≤ 18.8.9≥ 19.12.0, ≤ 19.12.4`	修正版なし
rest data services oracle	`= 11.2.0.4= 12.1.0.2= 12.2.0.1= 18c= 19c`	修正版なし
siebel mobile oracle	`≤ 20.12`	修正版なし
storagetek acsls oracle	`= 8.5.1`	修正版なし
storagetek tape analytics sw tool oracle	`= 2.3.1`	修正版なし
webcenter sites oracle	`= 12.2.1.3.0= 12.2.1.4.0`	修正版なし
weblogic server oracle	`= 12.1.3.0.0= 12.2.1.3.0= 12.2.1.4.0= 14.1.1.0.0`	修正版なし
log correlation engine tenable	`< 6.0.9`	`6.0.9`
jquery npm	`≥ 1.0.3, < 3.5.0`	`3.5.0`

概要

Impact

Passing HTML containing <option> elements from untrusted sources - even after sanitizing them - to one of jQuery's DOM manipulation methods (i.e. .html(), .append(), and others) may execute untrusted code.

Patches

This problem is patched in jQuery 3.5.0.

Workarounds

To workaround this issue without upgrading, use DOMPurify with its SAFE_FOR_JQUERY option to sanitize the HTML string before passing it to a jQuery method.

References

https://blog.jquery.com/2020/04/10/jquery-3-5-0-released/

For more information

If you have any questions or comments about this advisory, search for a relevant issue in the jQuery repo. If you don't find an answer, open a new issue.

NVD の説明

In jQuery versions greater than or equal to 1.0.3 and before 3.5.0, passing HTML containing <option> elements from untrusted sources - even after sanitizing it - to one of jQuery's DOM manipulation methods (i.e. .html(), .append(), and others) may execute untrusted code. This problem is patched in jQuery 3.5.0.

参考情報

org.webjars.npm:jquery のその他の脆弱性

すべて見る →

これらの製品をお使いですか？サイトをスキャンして、脆弱なバージョンが公開されていないか確認しましょう。

無料でサイトをスキャン