Перейти к содержимому
Noroxi

Уязвимости BootstrapBootstrap: известные уязвимости и безопасные версии

npm: bootstrap

Для Bootstrap известно записей об уязвимостях: 10. Из них 9 — в данных npm (GitHub Advisory Database через OSV, тот же источник, что у npm audit), 1 — только в Retire.js (сборки с CDN и бюллетени без CVE). Последняя версия — 5.3.8 (endoflife.date).

По веткам: 5.x — известных записей нет; 4.x — безопасна с 4.3.1; 3.x — в записях нет исправленной версии; 2.x — в записях нет исправленной версии.

Уязвимости и безопасная версия по веткам

Безопасная версия: в этой ветке она и все следующие (до последней версии ветки, если она известна) не попадают ни в один известный диапазон. Кандидаты — только версии исправлений из самих записей и последняя версия ветки; «Исправления нет» означает, что с ветки нужно уходить.

ВеткаПоддержкаПоследняя в веткеЗаписиБезопасная версия
5.xПоддерживается5.3.80—
4.xЗакончилась (1 января 2023 г.)4.6.24средняя4.3.1
3.xЗакончилась (24 июля 2019 г.)3.4.18средняяИсправления нет
2.xЗакончилась (19 августа 2013 г.)2.3.27средняяИсправления нет

Записи

Сначала новые. Диапазоны взяты из самой записи; несколько диапазонов означают отдельные исправления для веток.

  • CVE-2025-16472025-05-15

    XSS in Bootstrap title attribute for Tooltip and Popover

    Затронутые версии: = 3.4.1 · >= 3.4.1, < 3.4.2

    средняя 5.6

    Исправлено в: 3.4.2

  • CVE-2024-6485есть код эксплойта2024-07-11

    XSS in Bootstrap button component

    Затронутые версии: >= 1.4.0, <= 3.4.1 · >= 1.4.0, < 3.4.2

    средняя 6.4

    Исправлено в: 3.4.2

  • CVE-2019-8331есть код эксплойта2019-02-20

    In Bootstrap before 3.4.1 and 4.3.x before 4.3.1, XSS is possible in the tooltip or popover data-template attribute.

    Затронутые версии: >= 4.0.0, < 4.3.1 · >= 3.0.0, < 3.4.1

    средняя 6.1

    Исправлено в: 3.4.1, 4.3.1

    EPSS 16,4%

  • CVE-2018-206772019-01-09

    In Bootstrap before 3.4.0, XSS is possible in the affix configuration target property.

    Затронутые версии: < 3.4.0

    средняя 6.1

    Исправлено в: 3.4.0

    EPSS 3,9%

  • CVE-2018-206762019-01-09

    In Bootstrap before 3.4.0, XSS is possible in the tooltip data-viewport attribute.

    Затронутые версии: < 3.4.0

    средняя 6.1

    Исправлено в: 3.4.0

    EPSS 3,8%

  • CVE-2016-10735есть код эксплойта2019-01-09

    In Bootstrap 3.x before 3.4.0 and 4.x-beta before 4.0.0-beta.2, XSS is possible in the data-target attribute, a different vulnerability than

    Затронутые версии: >= 2.0.4, < 3.4.0 · >= 4.0.0-beta, < 4.0.0-beta.2 · >= 3.0.0, < 3.4.0

    средняя 6.1

    Исправлено в: 3.4.0

    EPSS 4%

  • CVE-2018-14042есть код эксплойта2018-07-13

    In Bootstrap before 4.1.2, XSS is possible in the data-container property of tooltip.

    Затронутые версии: >= 4.0.0, < 4.1.2 · >= 2.3.0, < 3.4.0

    средняя 6.1

    Исправлено в: 3.4.0, 4.1.2

    EPSS 4%

  • CVE-2018-14041есть код эксплойта2018-07-13

    In Bootstrap before 4.1.2, XSS is possible in the data-target property of scrollspy.

    Затронутые версии: >= 4.0.0, < 4.1.2

    средняя 6.1

    Исправлено в: 4.1.2

    EPSS 4,3%

  • CVE-2018-14040есть код эксплойта2018-07-13

    In Bootstrap before 4.1.2, XSS is possible in the collapse data-parent attribute.

    Затронутые версии: >= 4.0.0, < 4.1.2 · >= 2.3.0, < 3.4.0

    средняя 6.1

    Исправлено в: 3.4.0, 4.1.2

    EPSS 4,1%

  • без CVE

    cross-site scripting vulnerability

    Затронутые версии: < 2.1.0

    средняя

    Исправлено в: 2.1.0

Источники и метод

Диапазоны: GitHub Advisory Database (выгрузка OSV для npm, ежедневно) и Retire.js (Apache-2.0). Эксплуатация: CISA KEV, FIRST EPSS и зрелость эксплойта из базы CVE Noroxi. Даты поддержки: endoflife.date.

Эта страница и сканер JavaScript-библиотек используют одно правило сопоставления: строка без границ не считается доказательством, версии сравниваются в одном месте. Запись без диапазона версий не считается «затрагивающей» при проверке версии.

Данные на 3 ноября 2026 г..

Другие библиотеки