Vulnérabilité de jQuery : Cross Site Scripting

Synthèse de la vulnérabilité

Un attaquant peut provoquer un Cross Site Scripting de jQuery, afin d'exécuter du code JavaScript dans le contexte du site web.

Produits vulnérables : Fedora, jQuery Core, openSUSE Leap, Oracle Communications, Oracle Fusion Middleware, Oracle GlassFish Server, Oracle Identity Management, Solaris, Tuxedo, Oracle Virtual Directory, WebLogic, RabbitMQ, SLES, Zabbix.

Gravité de cette faille : 2/4.

Date de création : 29/12/2016.

Références de ce bulletin : bulletinjul2018, cpuapr2019, cpujan2019, cpujul2019, cpuoct2018, cpuoct2019, CVE-2015-9251, FEDORA-2016-06e8a3f776, FEDORA-2016-3368a38282, FEDORA-2016-8516b7d6fb, FEDORA-2016-b6cb3e83fa, openSUSE-SU-2020:0395-1, SUSE-SU-2020:0737-1, VIGILANCE-VUL-21468.

Description de la vulnérabilité

Le produit jQuery dispose d'un service web.

Cependant, les données reçues ne sont pas filtrées avant d'être insérées dans les documents HTML générés.

Un attaquant peut donc provoquer un Cross Site Scripting de jQuery, afin d'exécuter du code JavaScript dans le contexte du site web.
Bulletin complet, filtrage par logiciel, emails, correctifs, ... (Demandez votre essai gratuit)

Cette vulnérabilité cyber-sécurité concerne les logiciels ou systèmes comme Fedora, jQuery Core, openSUSE Leap, Oracle Communications, Oracle Fusion Middleware, Oracle GlassFish Server, Oracle Identity Management, Solaris, Tuxedo, Oracle Virtual Directory, WebLogic, RabbitMQ, SLES, Zabbix.

Notre équipe Vigil@nce a déterminé que la gravité de cette annonce de menace est moyen.

Le niveau de confiance est de type confirmé par l'éditeur, avec une provenance de document.

Un attaquant avec un niveau de compétence expert peut exploiter cet avis de menace.

Solutions pour cette menace

Cloud Foundry UAA : version 73.3.0.
La version 73.3.0 est corrigée :
https://www.cloudfoundry.org/

Fedora : nouveaux paquetages js-jquery.
De nouveaux paquetages sont disponibles :
Fedora 24 : js-jquery 2.2.4-1.fc24
Fedora 25 : js-jquery 2.2.4-1.fc25

Fedora : nouveaux paquetages js-jquery1.
De nouveaux paquetages sont disponibles :
Fedora 24 : js-jquery1 1.12.4-2.fc24
Fedora 25 : js-jquery1 1.12.4-2.fc25

openSUSE Leap 15.1 : nouveaux paquetages ruby2.5.
De nouveaux paquetages sont disponibles :
openSUSE Leap 15.1 : ruby2.5 2.5.7-lp151.4.6.1

Oracle Communications : CPU de janvier 2019.
Un Critical Patch Update est disponible :
https://www.oracle.com/technetwork/security-advisory/cpujan2019-5072801.html

Oracle Fusion Middleware : CPU de avril 2019.
Un Critical Patch Update est disponible :
https://support.oracle.com/rs?type=doc&id=2498664.1

Oracle Fusion Middleware : CPU de janvier 2019.
Un Critical Patch Update est disponible :
https://www.oracle.com/technetwork/security-advisory/cpujan2019-5072801.html

Oracle Fusion Middleware : CPU de juillet 2019.
Un Critical Patch Update est disponible :
https://support.oracle.com/rs?type=doc&id=2534806.1

Oracle Fusion Middleware : CPU de octobre 2018.
Un Critical Patch Update est disponible :
https://support.oracle.com/rs?type=doc&id=2433477.1

Oracle Fusion Middleware : CPU de octobre 2019.
Un Critical Patch Update est disponible :
https://support.oracle.com/rs?type=doc&id=2568292.1

Oracle Solaris : patch pour logiciels tiers de juillet 2018 v3.
Un patch est disponible :
https://support.oracle.com/rs?type=doc&id=1448883.1

RabbitMQ : version 3.7.17.
La version 3.7.17 est corrigée :
https://rabbitmq.com/download.html

Redmine : version 3.3.7.
La version 3.3.7 est corrigée :
http://www.redmine.org/projects/redmine/wiki/Download

Redmine : version 3.4.5.
La version 3.4.5 est corrigée :
http://www.redmine.org/projects/redmine/wiki/Download

SUSE LE 15 : nouveaux paquetages ruby2.5.
De nouveaux paquetages sont disponibles :
SUSE LE 15 RTM : ruby2.5 2.5.7-4.8.1
SUSE LE 15 SP1 : ruby2.5 2.5.7-4.8.1

Zabbix : versions 4.0.8 et 4.2.2.
Les versions 4.0.8 et 4.2.2 sont corrigées.
Bulletin complet, filtrage par logiciel, emails, correctifs, ... (Demandez votre essai gratuit)

Service de veille sur les vulnérabilités informatiques

Vigil@nce fournit des annonces de vulnérabilité informatique. La cellule de veille technologique suit les menaces sécurité qui ciblent le parc informatique.