CVE-2019-11358

描述

jQuery before 3.4.0, as used in Drupal, Backdrop CMS, and other products, mishandles jQuery.extend(true, {}, ...) because of Object.prototype pollution. If an unsanitized source object contained an enumerable __proto__ property, it could extend the native Object.prototype.

如何修補 CVE-2019-11358

要修補 CVE-2019-11358,請將受影響套件升級到下列已修補版本。

• Maven/org.webjars.npm:jquery—升級至 3.4.0 或更新版本
• —升級至 3.4.0 或更新版本
• —升級至 8.5.15 或更新版本
• —升級至 1.19.0 或更新版本
• —升級至 4.3.4 或更新版本
• —升級至 3.4.0 或更新版本

CVE-2019-11358 正在被利用嗎?

可能 — EPSS 為 87.2%,屬於高被利用機率區間,建議優先修補。

受影響套件(6)

• >= 1.1.4, < 3.4.0
• >= 1.1.4, < 3.4.0
• >= 8.0.0, < 8.5.15 | >= 8.6.0, < 8.6.15
• from 0, < 1.19.0
• from 0, < 4.3.4
• >= 1.1.4, < 3.4.0

CVSS 分數

參考連結(110)

• ADVISORYnvd.nist.gov/vuln/detail/CVE-2019-11358
• PATCHgithub.com/jquery/jquery
• WEBlists.opensuse.org/opensuse-security-announce/2019-08/msg00006.html
• WEBlists.opensuse.org/opensuse-security-announce/2019-08/msg00025.html