CVE-2020-11023

Potential XSS vulnerability in jQuery

MEDIUM 6.9CISA KEV ↗Exploitée selon l'ENISA depuis le 2025-01-23

En bref

Source: NVD
EPSS: EPSS 84.89 % · centile 100 (2026-10-28)
État: PUBLISHED
Publiée: 2020-04-29 00:00 UTC
Mise à jour: 2025-10-21 23:35 UTC
Attribuée par: GitHub_M
Statut NVD: Analyzed

Description

In jQuery versions greater than or equal to 1.0.3 and before 3.5.0, passing HTML containing <option> elements from untrusted sources - even after sanitizing it - to one of jQuery's DOM manipulation methods (i.e. .html(), .append(), and others) may execute untrusted code. This problem is patched in jQuery 3.5.0.

Faiblesses (CWE)

CWE-79 — Injection de code indirecte (XSS)

Références

Scores

Version	Score	Vecteur	Évalué par
CVSS 3.1	MEDIUM 6.9	CVSS:3.1/AV:N/AC:H/PR:N/UI:R/S:C/C:H/I:L/A:N	GitHub_M
CVSS 3.1	MEDIUM 6.9	CVSS:3.1/AV:N/AC:H/PR:N/UI:R/S:C/C:H/I:L/A:N	NVD · security-advisories@github.com (Secondary)
CVSS 3.1	MEDIUM 6.1	CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N	NVD · nvd@nist.gov (Primary)
CVSS 2.0	MEDIUM 4.3	AV:N/AC:M/Au:N/C:N/I:P/A:N	NVD · nvd@nist.gov (Primary)

Avis

GHSA-jpcq-cgw6-v4j6 — Potential XSS vulnerability in jQuery

Références européennes

ENISA EUVD · EUVD-2020-0387
GCVE · GCVE-0-2020-11023

Avis du CERT-FR

CERTFR-2026-AVI-1378 — Multiples vulnérabilités dans les produits IBM · cert.ssi.gouv.fr
CERTFR-2026-AVI-1291 — Multiples vulnérabilités dans les produits IBM · cert.ssi.gouv.fr
CERTFR-2026-AVI-1165 — Multiples vulnérabilités dans les produits IBM · cert.ssi.gouv.fr
CERTFR-2026-AVI-0218 — Multiples vulnérabilités dans les produits VMware · cert.ssi.gouv.fr
CERTFR-2025-AVI-0855 — Multiples vulnérabilités dans les produits Juniper Networks · cert.ssi.gouv.fr
CERTFR-2025-AVI-0693 — Multiples vulnérabilités dans VMware Tanzu · cert.ssi.gouv.fr
CERTFR-2025-AVI-0524 — Multiples vulnérabilités dans VMware Tanzu · cert.ssi.gouv.fr
CERTFR-2025-AVI-0422 — Multiples vulnérabilités dans IBM QRadar SIEM · cert.ssi.gouv.fr
CERTFR-2025-AVI-0401 — Multiples vulnérabilités dans Juniper Networks Secure Analytics · cert.ssi.gouv.fr
CERTFR-2025-AVI-0370 — Multiples vulnérabilités dans les produits IBM · cert.ssi.gouv.fr
CERTFR-2025-AVI-0214 — Multiples vulnérabilités dans les produits IBM · cert.ssi.gouv.fr
CERTFR-2024-AVI-1103 — Multiples vulnérabilités dans les produits IBM · cert.ssi.gouv.fr
CERTFR-2024-AVI-0741 — Multiples vulnérabilités dans Juniper Secure Analytics · cert.ssi.gouv.fr
CERTFR-2024-AVI-0737 — Multiples vulnérabilités dans Moxa OnCell 3120-LTE-1 Series · cert.ssi.gouv.fr
CERTFR-2024-AVI-0579 — Multiples vulnérabilités dans les produits IBM · cert.ssi.gouv.fr
CERTFR-2024-AVI-0508 — Multiples vulnérabilités dans les produits Moxa · cert.ssi.gouv.fr
CERTFR-2024-AVI-0459 — Multiples vulnérabilités dans les produits IBM · cert.ssi.gouv.fr
CERTFR-2023-AVI-0907 — Multiples vulnérabilités dans Moxa PT-G503 · cert.ssi.gouv.fr
CERTFR-2023-AVI-0357 — Multiples vulnérabilités dans IBM Cognos · cert.ssi.gouv.fr
CERTFR-2023-AVI-0250 — Multiples vulnérabilités dans les produits IBM · cert.ssi.gouv.fr
CERTFR-2023-AVI-0219 — Multiples vulnérabilités dans IBM Sterling B2B Integrator · cert.ssi.gouv.fr
CERTFR-2023-AVI-0208 — Multiples vulnérabilités dans Nessus · cert.ssi.gouv.fr
CERTFR-2023-AVI-0190 — Multiples vulnérabilités dans Tenable Nessus · cert.ssi.gouv.fr
CERTFR-2022-AVI-928 — Multiples vulnérabilités dans les produits IBM · cert.ssi.gouv.fr
CERTFR-2022-AVI-924 — Multiples vulnérabilités dans IBM QRadar · cert.ssi.gouv.fr
CERTFR-2022-AVI-266 — Multiples vulnérabilités dans IBM WebSphere Service Registry and Repository · cert.ssi.gouv.fr
CERTFR-2022-AVI-056 — Multiples vulnérabilités dans Oracle WebLogic Server · cert.ssi.gouv.fr
CERTFR-2021-AVI-943 — Multiples vulnérabilités dans les produits IBM · cert.ssi.gouv.fr
CERTFR-2021-AVI-770 — Multiples vulnérabilités dans les produits SAP · cert.ssi.gouv.fr
CERTFR-2021-AVI-430 — Multiples vulnérabilités dans Tenable LCE · cert.ssi.gouv.fr
+9 autres

Configurations affectées (CPE NVD)

cpe:2.3:a:jquery:jquery:*:*:*:*:*:*:*:* ≥ 1.0.3 < 3.5.0
cpe:2.3:o:debian:debian_linux:9.0:*:*:*:*:*:*:*
cpe:2.3:o:fedoraproject:fedora:31:*:*:*:*:*:*:*
cpe:2.3:o:fedoraproject:fedora:32:*:*:*:*:*:*:*
cpe:2.3:o:fedoraproject:fedora:33:*:*:*:*:*:*:*
cpe:2.3:a:drupal:drupal:*:*:*:*:*:*:*:* ≥ 7.0 < 7.70
cpe:2.3:a:drupal:drupal:*:*:*:*:*:*:*:* ≥ 8.7.0 < 8.7.14
cpe:2.3:a:drupal:drupal:*:*:*:*:*:*:*:* ≥ 8.8.0 < 8.8.6
cpe:2.3:a:oracle:application_express:*:*:*:*:*:*:*:* < 20.2
cpe:2.3:a:oracle:application_testing_suite:13.3.0.1:*:*:*:*:*:*:*
cpe:2.3:a:oracle:banking_enterprise_collections:*:*:*:*:*:*:*:* ≥ 2.7.0 ≤ 2.8.0
cpe:2.3:a:oracle:banking_platform:*:*:*:*:*:*:*:* ≥ 2.4.0 ≤ 2.10.0
cpe:2.3:a:oracle:blockchain_platform:*:*:*:*:*:*:*:* < 21.1.2
cpe:2.3:a:oracle:blockchain_platform:21.1.2:*:*:*:*:*:*:*
cpe:2.3:a:oracle:business_intelligence:5.9.0.0.0:*:*:*:enterprise:*:*:*
cpe:2.3:a:oracle:communications_analytics:12.1.1:*:*:*:*:*:*:*
cpe:2.3:a:oracle:communications_eagle_application_processor:*:*:*:*:*:*:*:* ≥ 16.1.0 ≤ 16.4.0
cpe:2.3:a:oracle:communications_element_manager:8.1.1:*:*:*:*:*:*:*
cpe:2.3:a:oracle:communications_element_manager:8.2.0:*:*:*:*:*:*:*
cpe:2.3:a:oracle:communications_element_manager:8.2.1:*:*:*:*:*:*:*
cpe:2.3:a:oracle:communications_interactive_session_recorder:*:*:*:*:*:*:*:* ≥ 6.1 ≤ 6.4
cpe:2.3:a:oracle:communications_operations_monitor:*:*:*:*:*:*:*:* ≥ 4.1 ≤ 4.3
cpe:2.3:a:oracle:communications_operations_monitor:3.4:*:*:*:*:*:*:*
cpe:2.3:a:oracle:communications_services_gatekeeper:7.0:*:*:*:*:*:*:*
cpe:2.3:a:oracle:communications_session_report_manager:8.1.1:*:*:*:*:*:*:*
cpe:2.3:a:oracle:communications_session_report_manager:8.2.0:*:*:*:*:*:*:*
cpe:2.3:a:oracle:communications_session_report_manager:8.2.1:*:*:*:*:*:*:*
cpe:2.3:a:oracle:communications_session_route_manager:8.1.1:*:*:*:*:*:*:*
cpe:2.3:a:oracle:communications_session_route_manager:8.2.0:*:*:*:*:*:*:*
cpe:2.3:a:oracle:communications_session_route_manager:8.2.1:*:*:*:*:*:*:*
cpe:2.3:a:oracle:financial_services_regulatory_reporting_for_de_nederlandsche_bank:8.0.4:*:*:*:*:*:*:*
cpe:2.3:a:oracle:financial_services_revenue_management_and_billing_analytics:2.7:*:*:*:*:*:*:*
cpe:2.3:a:oracle:financial_services_revenue_management_and_billing_analytics:2.8:*:*:*:*:*:*:*
cpe:2.3:a:oracle:health_sciences_inform:6.3.0:*:*:*:*:*:*:*
cpe:2.3:a:oracle:healthcare_translational_research:3.2.1:*:*:*:*:*:*:*
cpe:2.3:a:oracle:healthcare_translational_research:3.3.1:*:*:*:*:*:*:*
cpe:2.3:a:oracle:healthcare_translational_research:3.3.2:*:*:*:*:*:*:*
cpe:2.3:a:oracle:healthcare_translational_research:3.4.0:*:*:*:*:*:*:*
cpe:2.3:a:oracle:hyperion_financial_reporting:11.1.2.4:*:*:*:*:*:*:*
cpe:2.3:a:oracle:jd_edwards_enterpriseone_orchestrator:*:*:*:*:*:*:*:* < 9.2.5.0
+41 autres

Produits affectés

Produit	Versions
jquery · jQuery	affected >= 1.0.3, < 3.5.0

Sources

Source	Licence
CVE List (CVEProject cvelistV5)	CVE Program Terms of Use
CISA Known Exploited Vulnerabilities	CC0 1.0
EPSS (FIRST.org)	FIRST — attribution requested
ENISA EUVD	ENISA — reproduction authorised, source acknowledged
CERT-FR (ANSSI)	Licence Ouverte / Etalab 2.0
NVD (NIST) via fkie-cad/nvd-json-data-feeds	Public domain — this product uses data from the NVD API but is not endorsed or certified by the NVD