PT-2021-23156 · Jquery+5 · Jquery Ui+5

Publicado 2021-10-26 · Atualizado 2026-03-10 · CVE-2021-41182

Positive Technologies (AI Summary) · Pt

CVSS v3.1

6.5

Média

Vetor base

AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:H/A:N

Nome do software vulnerável e versões afetadas

Versões do jQuery UI anteriores à 1.13.0

Descrição

Aceitar o valor da opção altField do widget Datepicker proveniente de fontes não confiáveis pode resultar na execução de código não confiável. Por exemplo, inicializar o datepicker com a opção altField definida como uma string não confiável, como <img onerror=‘doEvilThing()’ src=‘/404’ />, chamará a função doEvilThing. O problema foi corrigido no jQuery UI 1.13.0, onde qualquer valor de string passado para a opção altField agora é tratado como um seletor CSS.

Recomendações

Para resolver o problema, atualize para a versão 1.13.0 ou posterior do jQuery UI. Como solução temporária, não aceite o valor da opção altField proveniente de fontes não confiáveis. Restrinja o acesso à opção altField para minimizar o risco de exploração. Evite usar strings não confiáveis na opção altField até que o problema seja resolvido.

Exploit

Correção

XSS

Enumeração de Fraquezas

CWE-79

Identificadores relacionados

ALSA-2025_16880

ALT-PU-2023-6282

ALT-PU-2023-6850

BIT-DRUPAL-2021-41182

CVE-2021-41182

DLA-2889-1

DLA-3230-1

DLA-3551-1

GHSA-9GJ3-HWP5-PMWC

RHSA-2022:4711

SUSE-SU-2022:1729-1

USN-6419-1

Produtos afetados

Alt Linux

Astra Linux

Debian

Linuxmint

Ubuntu

Jquery Ui

Referências · 87

• 🔥 https://github.com/jquery/jquery-ui/security/advisories/GHSA-9gj3-hwp5-pmwc · Exploit
• 🔥 https://github.com/rubysec/ruby-advisory-db/blob/master/gems/jquery-ui-rails/CVE-2021-41182.yml · Exploit
• https://github.com/jquery/jquery-ui/pull/1954/commits/6809ce843e5ac4128108ea4c15cbc100653c2b63 · Correção
• https://github.com/jquery/jquery-ui/commit/32850869d308d5e7c9bf3e3b4d483ea886d373ce · Nota
• https://github.com/jquery/jquery-ui · Nota
• https://suse.com/security/cve/CVE-2021-43818 · Nota
• https://lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/HVKIOWSXL2RF2ULNAP7PHESYCFSZIJE3 · Aviso do Fabricante
• https://lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/SGSY236PYSFYIEBRGDERLA7OSY6D7XL4 · Aviso do Fabricante
• https://twitter.com/Xyberviri/status/1760380185575084420 · Publicação no Twitter
• https://suse.com/security/cve/CVE-2022-23452 · Nota
• https://suse.com/security/cve/CVE-2022-22816 · Nota
• https://blog.jqueryui.com/2021/10/jquery-ui-1-13-0-released · Aviso do Fabricante
• https://twitter.com/therceman/status/1698377252013068671 · Publicação no Twitter
• https://oracle.com/security-alerts/cpuapr2022.html · Correção
• https://bugzilla.suse.com/1194551 · Nota