2019年我们追过的jQuery，它的漏洞你知道吗？

LYA 看雪学院 2021-03-09

尽管JavaScript库jQuery不再像以前那样流行。

但是它仍被广泛使用。

因此，一旦它曝出漏洞，影响的网站范围很大。

2019年jQuery主要漏洞

Snyk发布了2019年JavaScript框架状态安全报告，该报告主要针对两个领先的JavaScript 框架进行安全审查，同时还调查了其他三个前端JavaScript 生态系统项目的安全漏洞：Vue.js、Bootstrap 和 jQuery 等。

报告链接：

https://snyk.io/wp-content/uploads/snyk-javascript_report_2019.pdf

根据Snyk的统计报告显示，目前10个网站中至少有6个受到jQuery XSS漏洞的影响，在过去12个月中，jQuery的下载次数超过1.2亿次。

迄今为止跟踪到共有6个漏洞影响所有版本，其中四个属于中等级别的跨站点脚本漏洞，一个属于中等级别的原型污染漏洞，另一个是低严重性的拒绝服务漏洞。

也就是说，除非你使用的是jQuery 3.4.0及更高版本，否则你将处于易受攻击的风险之中。

影响大量网站

实际上，根据W3Techs的数据可以看出，使用jQueryv1.x占所有使用jQuery的网站的84％，这也就意味着它们将面临四个中等严重程度的XXS漏洞隐患，并且使用jQuery扩展库会加剧威胁。

其中，jquery.js 是一个恶意包，过去 12 个月中被下载了 5444 次，其严重程度和其他两个开源社区的恶意模块一样高。

报告还列出另外三个扩展库：jquery-mobile、jquery-file-upload 和 jquery-colorbox。

在过去的一年里，这三个扩展库包含执行任意代码和跨站点脚本的漏洞，并未进行任何修复和升级，依然有34万次的下载量。

近年来有人认为 jQuery 不再流行，而根据报道目前它仍有高下载量，原因可能如下：

* 本文由看雪编辑 LYA 编译自 i-programmer，转载请注明来源及作者。

* 原文链接：

https://www.i-programmer.info/news/167-javascript/13232-the-perils-of-jquery.html