교차 사이트 스크립팅(XSS) 취약점인 CVE-2020-11022가 1.2 이상 및 3.5.0 이전의 jQuery 버전에 있습니다. 이 결함으로 인해 parseHTML() 함수에 입력을 제공할 수 있는 공격자가 입력이 렌더링될 때 JavaScript를 페이지에 삽입하고 브라우저에서 전달하도록 할 수 있습니다. Looker 21.18 이하에서는 샌드박스 처리된 맞춤 시각화에 전역 변수로 제공된 jQuery 버전에 이 취약점이 포함되어 있었습니다.
Looker 21.20부터 커스텀 시각화에서 사용할 수 있는 내장 jQuery 인스턴스가 업데이트되었으며 이 취약점이 해결되었습니다. 이 취약점을 해결하기 위해 Looker는 커스텀 시각화에서 <div />와 같은 스스로 닫는 XHTML 태그를 더 이상 인식하지 못합니다.
Looker 21.20의 새로운 기존 기능인 커스텀 시각화에서 XHTML 스타일의 빈 태그 허용이 Looker의 관리 섹션에 기존 기능 페이지에 포함되어 있습니다. 이 기존 기능을 사용 설정하면 CVE-2020-11022에 대한 보호가 사용 중지되어 스스로 닫는 XHTML 태그가 커스텀 시각화에서 인식되지만 jQuery 취약점이 노출됩니다. 이 기존 기능을 사용 설정하는 경우 커스텀 시각화에서 스스로 닫는 태그를 감사하고, 스스로 닫는 태그를 모두 수정하고, 기존 기능을 사용 중지하는 것이 좋습니다. 이 기존 기능은 Looker 22.20에서 사용 중지될 예정이며 스스로 닫는 XHTML 태그가 허용되지 않습니다.
[[["이해하기 쉬움","easyToUnderstand","thumb-up"],["문제가 해결됨","solvedMyProblem","thumb-up"],["기타","otherUp","thumb-up"]],[["이해하기 어려움","hardToUnderstand","thumb-down"],["잘못된 정보 또는 샘플 코드","incorrectInformationOrSampleCode","thumb-down"],["필요한 정보/샘플이 없음","missingTheInformationSamplesINeed","thumb-down"],["번역 문제","translationIssue","thumb-down"],["기타","otherDown","thumb-down"]],["최종 업데이트: 2025-07-31(UTC)"],[],[],null,["# Allowing XHTML-style empty tags in custom visualizations\n\nA cross-site scripting (XSS) vulnerability, [CVE-2020-11022](https://nvd.nist.gov/vuln/detail/cve-2020-11022), exists in jQuery versions later than or equal to 1.2 and earlier than 3.5.0. This flaw allows an attacker with the ability to supply input to the `parseHTML()` function to inject JavaScript into the page when that input is rendered and to have it delivered by the browser. In Looker 21.18 and earlier, the version of jQuery that was provided as a global variable to a sandboxed [custom visualization](/looker/docs/admin-panel-platform-visualizations) included this vulnerability.\n\n\nStarting in Looker 21.20, the built-in jQuery instance that is available to custom visualizations has been updated, and this vulnerability has been addressed. As a result of addressing this vulnerability, Looker will no longer recognize self-closing XHTML tags, such as `\u003cdiv /\u003e` in custom visualizations.\n\n\nIn Looker 21.20, a new [legacy feature](/looker/docs/legacy-feature-schedule), **Allow XHTML-style Empty Tags in Custom Visualizations** , is included in the **Legacy Features** page in Looker's **Admin** section. Enabling this legacy feature disables protection against CVE-2020-11022, causing self-closing XHTML tags to be recognized in custom visualizations, but also exposing the jQuery vulnerability. If you enable this legacy feature, we strongly recommend that you audit your custom visualizations for self-closing tags, correct any self-closing tags, and disable the legacy feature. This legacy feature is scheduled to be disabled in Looker 22.20, and self-closing XHTML tags will not be allowed."]]
