关于jQuery 安全漏洞修复说明

一、漏洞概述

本次涉及 jQuery 两个历史安全漏洞：CVE-2019-11358、CVE-2015-9251。方天T-ONE早期版本前端基于 jQuery 1.8.2 构建，系统多个核心业务模块深度依赖该版本特有 API 与逻辑，存在上述漏洞的利用风险。

二、修复方案说明

考虑到项目现状，直接整体升级 jQuery 大版本存在极高业务风险：系统大量核心模块强依赖 jQuery 1.8.2 专属特性，强行替换新版 jQuery，会出现大面积前端兼容报错，界面渲染异常、业务交互失效，直接影响客户日常生产使用。

因此本次我们采用行业成熟的补丁回填（热修复）方案：不改动原有 jQuery 基础版本，不替换 jquery.js 本体，通过独立扩展文件 /scripts/jquery-1.8.2-extend.js 重写、覆盖漏洞相关的危险方法，从源头封堵漏洞触发入口，阻断攻击链路。

修复动作已在 T-ONE2027_27.260221 版本内完成落地，由内部安全团队完成专项验证：✅ 漏洞利用路径被彻底阻断，漏洞风险消除✅ 原有全部前端业务逻辑、交互功能保持不变，无兼容性影响✅ 修复代码隔离在独立扩展文件，便于追溯、核查、回滚

三、关于安全扫描误报说明

客户使用安全扫描工具检测时，部分工具会仅依据文件头部版本字符串识别风险，不会检测我们追加的补丁防护逻辑，从而持续报出漏洞告警。

建议方案：

1. 升级安全扫描器规则库至最新版本；

2. 扫描时确认扫描策略支持 “补丁验证”，而非单纯按版本号判定风险；

3. 如需合规材料，可提供安全测试报告与补丁文件，用于等保 / 安全验收。

四、文件与版本信息

• 修复版本：T-ONE2027_27.260221

• 补丁文件：/scripts/jquery-1.8.2-extend.js

• 修复漏洞：CVE-2019-11358、CVE-2015-9251

五、总结

本次修复兼顾安全风险闭环与业务稳定性，规避了大版本升级带来的不可控风险。升级至 T-ONE2027_27.260221 及以上版本后，该两项 jQuery 漏洞风险已解除，系统可正常投入使用。