Shumë tema dhe shtojca WordPress ende përfshijnë jQuery 1.x ose 2.x, versione me dobësi të njohura cross-site scripting (XSS), të korrigjuara gati një dekadë më parë. Për shembull, jQuery 1.12.4 dhe versionet më të hershme lejojnë XSS përmes mënyrës së trajtimit të disa kërkesave AJAX dhe selektorëve.
Sulmuesit nuk kanë nevojë të depërtojnë në server: mjafton që faqja t’i shërbejë shfletuesit skriptin e cenueshëm dhe ta mashtrojnë atë të ekzekutojë kod të injektuar brenda sesionit të vizitorit. Versionet identifikohen automatikisht nga skanerët, ndërsa funksionimi normal i bibliotekës nuk dëshmon sigurinë e saj.
Për të kontrolluar versionin, hapni faqen, klikoni me të djathtën → Inspect → Console dhe ekzekutoni jQuery.fn.jquery. Një skanim, si ai në https://vulnerabilitytools.com/, mund të zbulojë edhe komponentë të tjerë të vjetruar. Rekomandohet kalimi në një version të mbështetur, jQuery 3.7.x ose më të ri, dhe verifikimi që temat apo shtojcat nuk përfshijnë kopje të tyre të vjetra.
Shtojcat që kërkojnë jQuery 1.x duhen zëvendësuar, pasi kjo varësi është sinjal për probleme mirëmbajtjeje. Për skriptet e ngarkuara nga CDN, përdorni hash-e Subresource Integrity (SRI), që skedarët e manipuluar të mos ekzekutohen. Përsëriteni skanimin pas çdo përditësimi për të konfirmuar se skedari i vjetër është hequr dhe nuk mbetet në cache.
Burimi: DEV Community (Web Dev Feed) — lexoni artikullin e plotë në anglisht.
