GitHubに書かれているXSSが今回の内容。onerror={alert('xss');}>$()関数にhash値を渡すところで発生するよう。jQueryMobileの2488行目あたりの以下のコードがそれ。このコードは2360行あたりにも存在する。);そして今回のjQueryのXSSに関する詳しい内容はmalaさんの記事を参考。jQueryjQueryMobileのXSSデモUrl以下のURLを表示するとalertが表示されるのが分かる。);がなくなっており、hash値にimgタグを渡しても発生しない。/^(?:[^#<]*(<[\w\W]+>)[^>]*$|#([\w\-]*)$)/,はうまくいかなかった。これはコメント欄を読むと分かるが、「$("anychar<img>")」こうゆうパターンのときにダメのよう。GistこちらのPerlコードは、今回の問題になっているjQuery変数のquickExprの内容を書き換えるものになります。このパッチには過去古い時代のjQueryのquickExprも含まれているが、とりあえず以下に該当のバージョンのパッチを列挙してみました。beta1のほうにバージョンアップできる場合は良いのですが、アルファ版とbeta版ではかなり動きや設定も違ってくるので、すぐに対応は難しいと思います。MobileにXSSの脆弱性が見つかったのでアルファ版からベータ版に変更する際の注意点[to-R]とりあえずまだ他のXSSがあるかどうかや今回の件に関する不具合がすべて取り除かれたかの動作確認は出来ておりませんが、まずはjQuery側を修正し、動作検証をして様子を見てみようと思います。YoshiJavascriptをメインに使っているプログラマーの技術ブログです。アートでちょっぴりオモシロイものを作ってます。