Вразливості JS-бібліотек
Знаходимо застарілі версії jQuery, Bootstrap та інших бібліотек з відомими CVE-вразливостями, які можуть бути проексплуатовані хакерами.
01 Що це таке?
JavaScript-бібліотеки — jQuery, Bootstrap, React, Lodash та інші — є будівельними блоками більшості сучасних сайтів. Але старі версії цих бібліотек містять відомі вразливості, задокументовані в базі CVE (Common Vulnerabilities and Exposures). Проблема в тому, що розробники встановлюють бібліотеку, вона роками не оновлюється, і з часом у ній знаходять критичні діри безпеки. Оскільки версія бібліотеки часто видна у вихідному коді сторінки, зловмисники можуть автоматично шукати сайти з вразливими версіями і атакувати їх.
02 Чому це важливо для бізнесу?
- →jQuery до 3.4 має критичну XSS-вразливість CVE-2019-11358 — дозволяє виконати довільний JavaScript
- →60% сайтів у світі використовують jQuery, з них більшість — застарілі версії
- →PHP-фреймворки (Laravel, Symfony, Yii) не оновлюють frontend-залежності автоматично
- →Зловмисники мають автоматизовані сканери, які шукають сайти з вразливими бібліотеками
- →ChatGPT і старі туторіали часто пропонують код із застарілими версіями бібліотек
03 Що саме перевіряємо
- ✓Версія jQuery і перевірка по базі CVE (вразливості починаючи з 1.x)
- ✓Bootstrap — версії до 3.4.1 і 4.3.1 мають XSS-вразливості
- ✓Lodash — версії до 4.17.21 вразливі до Prototype Pollution
- ✓Underscore.js, Moment.js та інші популярні бібліотеки
- ✓Бібліотеки підключені через зовнішні CDN (cdnjs, jsDelivr, unpkg)
- ✓Версії з файлів bundle — мінімізованих і звичайних
04 Типові проблеми
jQuery 1.x — 2.x на продакшні
Версії jQuery 1.x і 2.x містять безліч вразливостей, включаючи CVE-2015-9251 (XSS), CVE-2019-11358 (Prototype Pollution) і CVE-2020-11022/11023 (XSS у parse HTML). Ці версії не отримують оновлень безпеки вже роки.
Bootstrap 3.x без патчів безпеки
Bootstrap 3.4.0 і раніші версії мають XSS-вразливості в data-атрибутах. Bootstrap 3.4.1 закрив деякі, але версія 3.x давно не підтримується і не отримує оновлень.
Бібліотека підключена з застарілого CDN
Деякі CDN дозволяють підключати конкретну версію бібліотеки, яка ніколи не оновлюється. Навіть якщо CDN надійний, версія залишається вразливою.
05 Вплив на бізнес
Вразлива JS-бібліотека на сайті — це відкрита двері для зловмисника. Через XSS-вразливість можна вкрасти сесії клієнтів, перенаправити їх на фішингові сторінки або вбудувати скіммер для крадіжки даних карток. Google може занести такий сайт до чорного списку, що фактично знищить SEO.
Rank Sentinel моніторить це і ще 20+ параметрів — щодня, без вашої участі.
🚀 Підключити моніторинг5 000 грн/рік · Beta-ціна
Деталі перевірки
- Критичність
- Критична
- Частота
- Щомісяця
- Категорія
- security