CVE-2021-41182

Versões do jQuery UI anteriores à 1.13.0

Aceitar o valor da opção altField do widget Datepicker proveniente de fontes não confiáveis pode resultar na execução de código não confiável. Por exemplo, inicializar o datepicker com a opção altField definida como uma string não confiável, como <img onerror=‘doEvilThing()’ src=‘/404’ />, chamará a função doEvilThing. O problema foi corrigido no jQuery UI 1.13.0, onde qualquer valor de string passado para a opção altField agora é tratado como um seletor CSS.

Para resolver o problema, atualize para a versão 1.13.0 ou posterior do jQuery UI. Como solução temporária, não aceite o valor da opção altField proveniente de fontes não confiáveis. Restrinja o acesso à opção altField para minimizar o risco de exploração. Evite usar strings não confiáveis na opção altField até que o problema seja resolvido.