关键信息 安全通告编号: [DLA 3230-1] 更新内容: jQuery UI 安全更新 日期: 2022年12月07日 涉及包: jqueryui 版本 1.12.1+dfsg-5+deb10u1 CVE编号: - CVE-2021-41182 - CVE-2021-41183 - CVE-2021-41184 - CVE-2022-31160 相关漏洞: - CVE-2021-41182: Datepicker widget 的 选项存在未信任源的值可能导致执行未信任代码。修复后， 选项的值被当作CSS选择器处理。 - CVE-2021-41183: Datepicker widget 的 选项可能存在执行未信任代码的风险。修复后， 选项的值被当作纯文本处理，而不是HTML。 - CVE-2021-41184: Datepicker widget 的 方法的 选项存在执行未信任代码的风险。修复后， 选项的值被当作CSS选择器处理。 - CVE-2022-31160: checkboxradio widget 在特定情况下可能存在跨站脚本漏洞。修复后，避免了初始化时误将HTML实体解码为JavaScript代码。 推荐措施: 升级到修复后的版本 1.12.1+dfsg-5+deb10u1。 更多信息: - 安全状态追踪: https://security-tracker.debian.org/tracker/jqueryui - Debian LTS安全建议: https://wiki.debian.org/LTS