В jQuery обнаружена набирающая обороты новая уязвимость

В jQuery обнаружена набирающая обороты новая уязвимость

В jQuery обнаружена набирающая обороты новая уязвимость

Разработчики популярной JavaScript-библиотеки jQuery выпустили очередное обновление безопасности, устраняющее довольно редкую уязвимость, которая только набирает обороты. Напомним, что jQuery установлена приблизительно на 74% сайтов в интернете.

Уязвимость, о которой пойдет речь, получила условное название «prototype pollution». Эксперты только начинают изучать данную брешь, обнаруживая ее все в большем количестве библиотек JavaScript.

Исходя из имени уязвимости, можно сделать вывод, что она предполагает возможность модификации объекта JavaScript, который называется «prototype».

Prototype определяет структуру объекта JavaScript и значений по умолчанию. Это делается для того, чтобы избежать сбоя приложения, если никаких значений не установлено.

Если у атакующего есть возможность модифицировать prototype, он может получить контроль над тем, как данные обрабатываются самим приложением. Таким образом, открывается возможность для совершения атак другого порядка — DoS или выполнения произвольного кода.

В настоящее время эксперты в области кибербезопасности оценивают «prototype pollution» как растущую угрозу для JavaScript. На наличие этой проблемы в jQuery обратили внимание эксперты компании Snyk, занимающейся сканированием исходного кода на уязвимости.

Брешь получила идентификатор CVE-2019-11358, код эксплойта в настоящий момент доступен на GitHub.

Подпишитесь на новости

Регистрация на SOC Forum 2026: в центре программы – ИИ и кибербезопасность

ИИ обещает экономить деньги, ускорять работу и помогать защитникам. А потом получает доступ к корпоративным данным — и вопросов становится ещё больше. На SOC Forum 2026 разберут, как извлечь из технологии пользу, контролировать её действия и отвечать за ошибки. Форум пройдёт 27-28 октября в московском кластере «Ломоносов».

Регистрация на SOC Forum уже открыта. Это центральное мероприятие Российской недели кибербезопасности, организатором которой выступает ГК «Солар». Компания также является соорганизатором форума.

Первый день посвятят бизнесу и регулированию. В фокусе — экономический эффект внедрения ИИ, контроль над данными и решениями, ответственность за ошибки и новые риски. Разговор о том, сколько пользы приносит технология, обещает быть интереснее очередной презентации с нейросетевыми картинками.

27 октября запланированы треки «AI & Cybersecurity», «ИБ и бизнес», «Тренды и аналитика угроз» и «Многогранный кибербез».

На второй день программа переключится на техническую практику: обнаружение и расследование атак, развитие защитной инфраструктуры, применение ИИ атакующими и защитниками. Для этого предусмотрены треки «Offence», «Defence», «Архитектура ИТ и ИБ» и «SOC-практикум».

Анонс программы опубликован на сайте форума и будет дополняться. Можно заранее выбрать, где разбираться с бизнес-эффектом, а где — с тем, что делать, когда ИИ уже оказался по другую сторону защиты.

RSS: Новости на портале Anti-Malware.ru