内容摘要：javascript框架漏洞受影响版本 React、Vue、Angular这些框架几乎撑起了现代前端的半壁江山。但框架再火，漏洞该出还是出。别以为大厂维护就安全，版本迭代快反而容易留下尾巴。就拿Rea

javascript框架漏洞受影响版本

React、框架Vue、漏洞Angular这些框架几乎撑起了现代前端的受影半壁江山。但框架再火，响版漏洞该出还是框架出。别以为大厂维护就安全，漏洞版本迭代快反而容易留下尾巴。受影就拿React来说，响版16.8.6之前的框架所有版本都存在一个SSR（服务端渲染）下的XSS漏洞，攻击者能通过构造特殊属性注入恶意代码。漏洞那次修复是受影在2019年，但直到今天，响版我依然能在一些老项目中翻到16.4甚至15.x的框架版本——没人升级，因为“能跑就不动”。漏洞

Vue的受影坑更隐蔽。CVE-2021-23358影响的是Vue 2.6.14之前的所有2.x版本，问题出在模板编译器的表达式过滤不严。具体场景是：如果你用v-html渲染用户输入，且没有额外做sanitize，攻击者可以直接绕过vue的转义机制。2.6.14在2021年2月就发布了，但很多用vue-cli生成的项目，package-lock里锁的还是2.6.10。升级？怕业务代码炸，不升？漏洞就挂在那。

Angular这边，8.0.0到8.2.14之间有个模板注入漏洞（CVE-2019-18368），允许通过属性绑定执行任意代码。这个版本区间卡得特别死，因为9.0直接重写了编译器。有意思的是，Angular团队在8.2.14里悄悄修复了它，但release notes里只写了“修复模板解析器的某些边界情况”——不细看根本不知道是安全更新。所以很多8.x的项目至今还停在8.2.10，以为升级是小事，实际是在裸奔。

jQuery不算框架？但很多老系统还在用。它的3.5.0之前所有版本都有CVE-2020-11023，针对htmlPrefilter的XSS。这个漏洞有意思的点在于，它是通过jQuery的$.html()方法触发的，而这个方法几乎每个用jQuery的人都写过。修复版本3.5.0在2020年4月发布，但我的一个客户，他们的后台系统至今还在用2.1.4——那是2012年的东西。问就是“稳定”，实际上连官方都不再维护2.x分支了。

别以为小众框架就安全。Lodash不是框架但胜似框架，它的4.17.20之前版本有个原型污染漏洞（CVE-2021-23337），能通过defaultsDeep函数修改Object.prototype。这玩意儿一旦被利用，你整个应用的对象行为都会失控。更麻烦的是，很多框架的依赖树里都嵌套着旧版Lodash，你升级了顶层依赖，但嵌套的版本还是4.17.15。

现在有个趋势是：框架更新越来越快，但企业项目的升级速度反而变慢了。React 18都出两年了，生产环境里跑16.8的大有人在。不是开发者懒，是业务代码耦合太深，升级成本高到让人望而却步。但安全漏洞不看你的苦衷，它只认版本号。

我的建议很简单：去查你项目的package-lock或yarn.lock，对着CVE数据库核对一遍，重点看React、Vue、Angular、jQuery这四个。如果发现版本低于上面提到的修复线，别犹豫，至少升到安全版本。如果实在升不动，那就加一层WAF或CSP，把风险兜住。别等到被扫出来才动手，那时候可能已经晚了。