Snyk释出最新JavaScript框架安全性报告，不少热门框架模组存在XSS漏洞

资安厂商Snyk发布最新2019年的JavaScript框架安全性报告，Snyk主要调查了Angular以及React生态系中的安全漏洞和风险，同时也连带分析了Vue.js、Bootstrap和jQuery，发现许多下载次数高达百万次的热门模组都存在漏洞，最常见的问题就是跨站脚本漏洞（XSS）。

Snyk调查Angular和React专案，在较旧版本AngularJS专案中，发现了23个安全性漏洞，但是在Angular框架核心元件没有任何漏洞存在，而React核心则存在数个漏洞，Snyk提到，在React的核心函式库发现漏洞似乎不少见。值得注意的是，只有一个React核心专案漏洞，被指定官方CVE编号，而Angular则都没有，Snyk认为，这证明了需要有一个漏洞数据库记录开源社群的活动，以便发现相关的安全问题。

而Snyk在React和Angular模组生态系中受欢迎的前几名元件，都发现了安全性漏洞，而且这些元件的总下载次数高达了数百万次，部分元件至今甚至尚无安全补丁，（下表）包含了Angular或React样板的漏洞，也就是说，开发者的应用程序因为引用了这些元件，因此在未做任何事之前就存在漏洞，而且都有未修补的漏洞。Angular的相依项目有952个，总共有2个漏洞，React则有1,257个相依项目，存在3个漏洞，还有一个为潜在的授权相容问题。

Angular的热门模组ngx-bootstrap被下载6,275,854次，却存在一个中度等级的跨站脚本攻击漏洞，至今没有修补程式，而第4热门的模组ng-dialog，存在了一个未修补的DoS攻击漏洞，也有580,674下载次数，第8名的angular-froala，有一个未修复的跨站脚本攻击。总结来说，从模组的下载次数来看漏洞分布，有92％都是跨站脚本攻击，其他的8%则是DoS攻击以及存取限制旁路漏洞。

在React生态系中，模组同样面临严重的跨站脚本漏洞问题，Snyk提到，react-marked-markdown模组有一个严重的跨站脚本问题，至今没有安全补丁，但是却被各JavaScript标记式函式库引用，在过去12个月有65,790的下载次数。还有preactrender-to-string函式库所有3.7.2之前的版本，都受跨站脚本漏洞影响，但是这个函式库在过去12个月有高达3,228,049次的下载。

当用户的应用程序使用到操作SVG格式的函式库react-svg，则有很大的机会存在严重的跨站脚本漏洞，2.2.18版本之前都受影响，在过去12个月这个模组被下载了1,446,442次。另外，今年三月mui-datatables被发现一个CSV注入漏洞，这个函式库提供基于Material UI框架的表格资料UI元件，在过去12个月下载量超过350,000。

其他前端框架的安全性问题，Vue.js的模组bootstrap-vue函式库在2019年1月，被发现了一个严重的跨站脚本漏洞，在此之前的所有版本皆受影响。Snyk研究团队也追踪了Bootstrap框架模组，发现了7个严重的跨站脚本漏洞，受影响的模组包含bootstrap-markdown、bootstrap-vuejs和bootstrap-select等。

jQuery发展较早，无论jQuery 1、jQuery 2或jQuery 3各版本都存在数个漏洞，分别有跨站脚本、类型污染以及DoS等漏洞，Snyk提到，只要不是使用jQuery 3.4.0之后的版本，皆为有漏洞的版本。jQuery的热门模组也存在许多漏洞，像是jquery-mobile、jquery-fileupload以及jquery-colorbox函式库，存在跨站脚本或是任意程式码执行漏洞，而且未有任何修补程式，但在过去12个月总共被下载超过34万次。