PT-2020-15388 · Jenkins · Jenkins Fitnesse Plugin+1

Federico Pellegrin · Publicado 2020-04-07 · Atualizado 2023-11-02 · CVE-2020-2175

Positive Technologies (AI Summary) · Pt

CVSS v3.1

5.4

Média

Vetor base

AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N

Nome do software vulnerável e versões afetadas

Plugin Jenkins FitNesse, versões 1.31 e anteriores

Descrição

O problema está relacionado a uma vulnerabilidade de script entre sites (XSS) armazenada. Ela ocorre porque o plugin não escapa corretamente o conteúdo dos relatórios antes de exibi-los na interface do usuário do Jenkins. Essa vulnerabilidade pode ser explorada por usuários capazes de controlar os arquivos de entrada XML processados pelo plugin.

Recomendações

Para as versões 1.31 e anteriores do plugin Jenkins FitNesse, atualize para a versão 1.32 ou posterior, que escapa o conteúdo dos arquivos de entrada XML antes de renderizá-lo na interface do usuário do Jenkins.

Correção

XSS

Enumeração de Fraquezas

CWE-79

Identificadores relacionados

CVE-2020-2175

GHSA-F6VX-3FQ6-HXM8

Produtos afetados

Jenkins

Jenkins Fitnesse Plugin

Referências · 10

• https://github.com/jenkinsci/fitnesse-plugin/commit/a49167115cc0a3dfca1c139c2c277a7c5c06074d · Nota
• https://github.com/jenkinsci/fitnesse-plugin · Nota
• https://github.com/jenkinsci/fitnesse-plugin/commit/309d40212338ad6e388f61892e4386f6645438a9 · Nota
• https://github.com/jenkinsci/fitnesse-plugin/commit/db72cc49b5cb8a33359805a86a841851673def2d · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2020-2175 · Nota de Segurança
• https://t.me/cvenotify/2477 · Publicação no Telegram
• https://osv.dev/vulnerability/GHSA-f6vx-3fq6-hxm8 · Aviso do Fabricante
• https://osv.dev/vulnerability/CVE-2020-2175 · Aviso do Fabricante
• http://openwall.com/lists/oss-security/2020/04/07/3 · Nota
• https://jenkins.io/security/advisory/2020-04-07/#SECURITY-1801 · Nota