允許在自訂圖表中使用 XHTML 樣式的空白標記

在 jQuery 1.2 以上 (含 1.2) 和 3.5.0 以下的版本中，存在跨網站指令碼攻擊 (XSS) 漏洞 CVE-2020-11022。這個漏洞可讓攻擊者將輸入內容提供給 parseHTML() 函式，在輸入內容算繪時將 JavaScript 插入網頁，並由瀏覽器傳送。在 Looker 21.18 以下版本中，提供給沙箱化自訂圖表的 jQuery 版本會包含這個安全漏洞。

自 Looker 21.20 起，可供自訂圖表使用的內建 jQuery 例項已更新，且已解決這個安全漏洞。為瞭解決這個安全漏洞，Looker 將不再辨識自動關閉的 XHTML 標記，例如自訂圖表中的 <div />。

在 Looker 21.20 中，Looker 的「管理」部分新增了「舊版功能」頁面，其中包含新的舊版功能「允許在自訂圖表中使用 XHTML 樣式的空白標記」。啟用這項舊版功能會停用 CVE-2020-11022 的防護機制，導致自訂圖表在辨識自閉 XHTML 標記時會暴露 jQuery 漏洞。如果啟用這項舊版功能，強烈建議您檢查自訂圖表是否有未關閉的標記，並修正所有未關閉的標記，然後停用舊版功能。這項舊功能預計會在 Looker 22.20 中停用，且不允許使用自關閉的 XHTML 標記。