客服電話
17792550360
掃描二維碼
關注卓目鳥學苑公眾號
官方微信
掃描二維碼
關注卓目鳥學苑公眾號
前兩周發(fā)布的 jQuery 3.4.0 除了常規(guī)更新外，更重要的是修復了一個稱為“原型污染（prototype pollution）”的罕見安全漏洞。
|
前兩周發(fā)布的 jQuery 3.4.0 除了常規(guī)更新外，更重要的是修復了一個稱為“原型污染（prototype pollution）”的罕見安全漏洞。 什么是原型污染？顧名思義，原型污染就是指攻擊者通過某種手段修改 JavaScript 對象的 prototype。 JavaScript 對象就跟變量一樣，但它不是存儲一個值（var car =“Fiat”），而是可以包含基于預定義結構的多個值 (var car ={type:"Fiat", model:"500", color:"white"})。 prototype 定義了 JavaScript 對象的默認結構和默認值，因此在沒有為對象賦值時應用程序也不會崩潰。 但如果攻擊者從 JavaScript 對象的 prototype 入手，攻擊者可通過將其控制的 prototype 注入對象，然后通過觸發(fā) JavaScript 異常導致拒絕服務（denial of service），或者篡改應用程序源代碼以注入攻擊者的代碼路徑。最終的結果可能就是導致應用程序崩潰或劫持應用程序。 Snyk 團隊詳細描述了這個新的 jQuery “原型污染”漏洞，其中包含攻擊原理和規(guī)避方法?！霸臀廴竟?CVE-2019-11358)”的概念驗證代碼點此查看。 雖然漏洞比較嚴重，但好在“原型污染”攻擊并不能被大規(guī)模利用，因為每段攻擊代碼必須針對每個目標進行微調。此外，大部分網站并不使用 jQuery 進行重要的操作，主要是用于操作動畫中的菜單或創(chuàng)建彈窗等。 最后，如果擔心安全問題，建議升級至最新版本 jQuery 3.4.0，畢竟目前大多數網站仍在使用 jQuery 的 1.x 和 2.x 分支，這意味著絕大多數基于 jQuery 的應用程序和網站仍有可能遭受攻擊。 （本文章轉載自今日頭條，該文章版權歸原作者所有。如涉及知識產權問題請盡快聯(lián)系我們，以保障您的合法權益） |
分享本篇文章給更多人:
2020-05-27
2020-02-24
2020-05-27
2022-12-05
2020-05-27
卓目鳥學苑 - 專注軟件測試菁英教育！( 陜ICP備2025058934號-2 )
版權所有 ? 西安菁英教育科技有限公司 2023-2026
請發(fā)表評論