jquery发布新版修复严重漏洞​，请立即升级！

Posted 2021-04-08 前端教程

技术文章第一时间送达！

虽然如今随着前端开发框架Vue,React,Angular三巨头的流行，昔日最常用的jQuery用的人越来越少，但是目前正在运行的网站中依然有很多在使用jQuery框架，也还有不少使用者。

前两周jQuery 团队的核心开发者 Timmy Willison 今天在官网宣布了 jQuery 3.4.0，这距离上个版本 3.3.x 系列的推出已过去了一年多。Timmy 表示这可能是 3.x 分支的最后一个小版本更新，接下来的工作重心将是 jQuery 4.0 大版本的更新。但仍有不少开发中表示自己在任在使用jquery老版本。

值得大家特别关注的是：这次jQuery 3.4.0 除了常规更新外，更重要的是修复了一个称为“原型污染（prototype pollution）”的罕见安全漏洞。

什么是原型污染？顾名思义，原型污染就是指攻击者通过某种手段修改 javascript 对象的 prototype。

JavaScript 对象就跟变量一样，但它不是存储一个值（var car =“Fiat”），而是可以包含基于预定义结构的多个值 (var car ={type:"Fiat", model:"500", color:"white"})。

prototype 定义了 JavaScript 对象的默认结构和默认值，因此在没有为对象赋值时应用程序也不会崩溃。

但如果攻击者从 JavaScript 对象的 prototype 入手，攻击者可通过将其控制的 prototype 注入对象，然后通过触发 JavaScript 异常导致拒绝服务（denial of service），或者篡改应用程序源代码以注入攻击者的代码路径。最终的结果可能就是导致应用程序崩溃或劫持应用程序。

Snyk 团队详细描述了这个新的 jQuery “原型污染”漏洞，其中包含攻击原理和规避方法。“原型污染攻击(CVE-2019-11358)”的概念验证代码点此查看。

虽然漏洞比较严重，但好在“原型污染”攻击并不能被大规模利用，因为每段攻击代码必须针对每个目标进行微调。此外，大部分网站并不使用 jQuery 进行重要的操作，主要是用于操作动画中的菜单或创建弹窗等。

如果担心安全问题，建议升级至最新版本 jQuery 3.4.0，毕竟目前大多数网站仍在使用 jQuery 的 1.x 和 2.x 分支，这意味着绝大多数基于 jQuery 的应用程序和网站仍有可能遭受攻击。

最后，再次提醒大家网站安全问题不容忽视！如果你有在使用老版本jQuery的网站，请及时升级jQuery到最新版，或者采取其它解决措施！还是建议大家使用各方面比较稳定的前端框架三巨头（Vue,react,Angular）。

合作推广

好文和朋友一起点个 在看~