84 % des sites web sont concernés par des vulnérabilités XSS dans jQuery

Bienvenue dans le rapport 2019 de Snyk sur la sécurité des frameworks JavaScript. Dans cet article, nous passons en revue les vulnérabilités découvertes dans d’autres projets de l’écosystème frontend.

Après avoir étudié Angular et React, deux frameworks JavaScript majeurs, nous allons examiner brièvement plusieurs frameworks JavaScript et CSS : Vue.js, jQuery et Bootstrap.

Téléchargez le rapport ici !

Sécurité de jQuery

jQuery a révolutionné le développement web il y a dix ans. Depuis, les technologies d’applications monopages telles qu’Angular et React ont profondément transformé le secteur. Cela dit, selon W3Techs, qui réalise régulièrement des enquêtes et publie des rapports sur l’utilisation des technologies web, jQuery était utilisé sur 73 % des sites web analysés en août 2019.

Une étude de Snyk datant de 2017 le confirme : elle indiquait que 77 % des sites utilisent au moins une bibliothèque JavaScript vulnérable et que jQuery était présent sur 79 % des 5 000 principales URL d’Alexa. Si vous n’êtes toujours pas convaincu, le module npm jQuery a totalisé 120 641 977 téléchargements au cours des seuls 12 derniers mois.

Au total, nous avons recensé six vulnérabilités de sécurité touchant jQuery depuis sa première version : quatre vulnérabilités Cross-Site Scripting de gravité moyenne, une vulnérabilité Prototype Pollution de gravité moyenne et une vulnérabilité par déni de service de faible gravité. Si vous n’utilisez pas jQuery 3.4.0 ou une version ultérieure, publiée récemment, le 10 avril 2019, votre version de jQuery est vulnérable.

jQuery étant généralement utilisé comme composant hérité dans les applications web, il est également important de comprendre les tendances d’utilisation des versions et leur état de sécurité.

W3Techs indique que parmi tous les sites web utilisant jQuery, la version 1.x domine avec 83,4 % de part d’utilisation. Les versions 2 et 3 sont loin derrière, avec environ 8 % de l’utilisation de jQuery. En analysant les vulnérabilités connues et les versions de jQuery concernées, nous avons constaté que quatre vulnérabilités Cross-Site Scripting de gravité moyenne touchent jQuery v1. Cette situation est préoccupante, compte tenu de sa part de marché de 83,4 %, en particulier pour les équipes qui n’utilisent pas l’analyse de la composition logicielle pour détecter et corriger les vulnérabilités des composants open source.

De nombreux sites et applications web utilisent également des bibliothèques jQuery pour étendre les fonctionnalités de jQuery, en faisant appel à des bibliothèques développées par la communauté.

Nous avons identifié 13 bibliothèques jQuery vulnérables, présentées dans le tableau ci-dessous. Voici nos observations :

• Trois bibliothèques jQuery sont des versions malveillantes de modules open source de la communauté. Comme le registre npm ne fournit pas les données de téléchargement des versions réellement vulnérables, signalons que jquery.js est un paquet malveillant qui a totalisé 5 444 téléchargements au cours des 12 derniers mois.

• Les bibliothèques jQuery jquery-mobile, jquery-file-upload et jquery-colorbox totalisent plus de 340 000 téléchargements au cours des 12 derniers mois, alors qu’elles présentent des vulnérabilités d’exécution de code arbitraire et de Cross-Site Scripting, sans possibilité de mise à niveau pour les corriger.

*les paquets malveillants ne disposent d’aucune information sur les correctifs.

Téléchargez le rapport ici

Nous vous recommandons vivement de télécharger la version complète du rapport au format numérique. Nous avons également publié les sections générales suivantes sous forme d’articles de blog :

• Rapport 2019 sur l’état de la sécurité des frameworks JavaScript

• Angular vs React : le match de la sécurité 2019

• Comparaison côte à côte des vulnérabilités de sécurité d’Angular et React en 2019

• Angular vs React : les risques de sécurité des dépendances indirectes

• Comparaison des bonnes pratiques de codage sécurisé de React et Angular

• Les vulnérabilités de sécurité XSS de jQuery touchent 84 % des sites web