Mengizinkan tag kosong gaya XTH dalam visualisasi kustom
Tetap teratur dengan koleksi
Simpan dan kategorikan konten berdasarkan preferensi Anda.
Kerentanan pembuatan skrip lintas situs (XSS), CVE-2020-11022, ada di jQuery versi yang lebih baru dari atau sama dengan 1.2 dan lebih lama dari 3.5.0. Kekurangan ini memungkinkan penyerang yang memiliki kemampuan untuk memberikan input ke fungsi parseHTML() untuk memasukkan JavaScript ke dalam halaman saat input tersebut dirender dan mengirimkannya oleh browser. Di Looker 21.18 dan yang lebih lama, versi jQuery yang disediakan sebagai variabel global ke visualisasi kustom dengan sandbox menyertakan kerentanan ini.
Mulai Looker 21.20, instance jQuery bawaan yang tersedia untuk visualisasi kustom telah diupdate, dan kerentanan ini telah diatasi. Sebagai hasil dari penanganan kerentanan ini, Looker tidak akan lagi mengenali tag XHTML yang menutup sendiri, seperti <div /> dalam visualisasi kustom.
Di Looker 21.20, fitur lama baru, Izinkan Tag Kosong Gaya XHTML dalam Visualisasi Kustom, disertakan di halaman Fitur Lama di bagian Admin Looker. Mengaktifkan fitur lama ini akan menonaktifkan perlindungan terhadap CVE-2020-11022, sehingga tag XHTML yang menutup sendiri akan dikenali dalam visualisasi kustom, tetapi juga mengekspos kerentanan jQuery. Jika Anda mengaktifkan fitur lama ini, sebaiknya audit visualisasi kustom Anda untuk tag penutupan otomatis, perbaiki tag penutupan otomatis, dan nonaktifkan fitur lama. Fitur lama ini dijadwalkan untuk dinonaktifkan di Looker 22.20, dan tag XHTML yang menutup sendiri tidak akan diizinkan.
[[["Mudah dipahami","easyToUnderstand","thumb-up"],["Memecahkan masalah saya","solvedMyProblem","thumb-up"],["Lainnya","otherUp","thumb-up"]],[["Sulit dipahami","hardToUnderstand","thumb-down"],["Informasi atau kode contoh salah","incorrectInformationOrSampleCode","thumb-down"],["Informasi/contoh yang saya butuhkan tidak ada","missingTheInformationSamplesINeed","thumb-down"],["Masalah terjemahan","translationIssue","thumb-down"],["Lainnya","otherDown","thumb-down"]],["Terakhir diperbarui pada 2025-07-31 UTC."],[],[],null,["# Allowing XHTML-style empty tags in custom visualizations\n\nA cross-site scripting (XSS) vulnerability, [CVE-2020-11022](https://nvd.nist.gov/vuln/detail/cve-2020-11022), exists in jQuery versions later than or equal to 1.2 and earlier than 3.5.0. This flaw allows an attacker with the ability to supply input to the `parseHTML()` function to inject JavaScript into the page when that input is rendered and to have it delivered by the browser. In Looker 21.18 and earlier, the version of jQuery that was provided as a global variable to a sandboxed [custom visualization](/looker/docs/admin-panel-platform-visualizations) included this vulnerability.\n\n\nStarting in Looker 21.20, the built-in jQuery instance that is available to custom visualizations has been updated, and this vulnerability has been addressed. As a result of addressing this vulnerability, Looker will no longer recognize self-closing XHTML tags, such as `\u003cdiv /\u003e` in custom visualizations.\n\n\nIn Looker 21.20, a new [legacy feature](/looker/docs/legacy-feature-schedule), **Allow XHTML-style Empty Tags in Custom Visualizations** , is included in the **Legacy Features** page in Looker's **Admin** section. Enabling this legacy feature disables protection against CVE-2020-11022, causing self-closing XHTML tags to be recognized in custom visualizations, but also exposing the jQuery vulnerability. If you enable this legacy feature, we strongly recommend that you audit your custom visualizations for self-closing tags, correct any self-closing tags, and disable the legacy feature. This legacy feature is scheduled to be disabled in Looker 22.20, and self-closing XHTML tags will not be allowed."]]
