jQueryMobile安全漏洞可能导致XSS攻击

最近，谷歌公司的安全专家Eduardo Vela在jQuery Mobile框架中发现了一个可能导致跨站脚本攻击（XSS）的安全漏洞。这一发现揭示了所有使用jQuery Mobile框架构建的网站都可能遭受此类攻击的风险。

jQuery Mobile是一个基于HTML5的开发框架，旨在帮助开发者创建兼容主流移动设备及桌面系统的响应式网页和应用。据jQuery开发团队透露，全球约有15万个活跃网站采用了jQuery Mobile进行开发。

该漏洞的具体表现是jQuery Mobile会从location.hash中读取URL，并通过innerHTML处理该URL返回的内容。在特定条件下，攻击者可利用此行为实施XSS攻击。Vela进一步解释了漏洞的工作原理，包括jQuery Mobile如何检查location.hash值，尝试将类似URL的数据添加至浏览器历史记录，并通过XMLHttpRequest发送请求，最后使用innerHTML处理响应数据。

尽管history.pushState方法理论上能增加攻击难度，但若网站存在开放重定向漏洞，攻击者仍可通过此漏洞发动攻击。Vela还提供了演示示例，展示了如何利用此漏洞。

然而，当Vela向jQuery Mobile开发团队报告此漏洞后，团队决定不对此进行修复。主要原因是修复漏洞可能会影响现有网站和应用的正常运行。团队认为，虽然开放重定向被视为一种安全风险，但jQuery Mobile处理URL内容的方式不应被视作安全缺陷。因此，他们不会为此发布任何更新或补丁。

对于那些不存在开放重定向漏洞的网站，攻击者利用此XSS漏洞的难度将大大增加。Vela鼓励安全研究人员继续探索在无开放重定向情况下利用此漏洞的可能性。

总结而言，开放重定向虽然常见，但确实给网站和应用带来了显著的安全隐患。Vela呼吁安全界重视并解决开放重定向中的安全问题，避免更多XSS漏洞的发生。