PT-2021-14654 · Jenkins · Jenkins

Jesse Glick + 1 · Publicado 2021-01-13 · Atualizado 2024-03-06 · CVE-2021-21611

Positive Technologies (AI Summary) · Pt

CVSS v3.1

5.4

Média

Vetor base

AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N

Nome do software vulnerável e versões afetadas

Versões 2.274 e anteriores do Jenkins; versões LTS 2.263.1 e anteriores

Descrição

O problema resulta em uma vulnerabilidade de cross-site scripting (XSS) armazenada, que pode ser explorada por invasores capazes de especificar nomes de exibição ou IDs de tipos de itens exibidos na página Novo Item. Isso ocorre porque os nomes de exibição e os IDs dos tipos de itens não são escapados adequadamente. Até o momento da publicação deste aviso, a equipe de segurança do Jenkins não tem conhecimento de nenhum plugin publicado através do centro de atualizações do projeto Jenkins que permita fazer isso.

Recomendações

Para as versões 2.274 e anteriores do Jenkins, atualize para a versão 2.275 ou posterior.

Para as versões LTS 2.263.1 e anteriores, atualize para a versão 2.263.2 ou posterior.

Correção

XSS

Enumeração de Fraquezas

CWE-79

Identificadores relacionados

BIT-JENKINS-2021-21611

CVE-2021-21611

GHSA-MJ7Q-CMF3-MG7H

RHSA-2021:0423

RHSA-2021:0429

RHSA-2021:0637

Produtos afetados

Jenkins

Referências · 10

• https://github.com/jenkinsci/jenkins · Nota
• https://github.com/jenkinsci/jenkins/commit/8c451b08886561a914ef0c30cbb9d40ea33a9bbe · Nota
• https://t.me/cvenotify/8481 · Publicação no Telegram
• https://t.me/cibsecurity/22086 · Publicação no Telegram
• https://t.me/cvenotify/60422 · Publicação no Telegram
• https://osv.dev/vulnerability/GHSA-mj7q-cmf3-mg7h · Aviso do Fabricante
• https://osv.dev/vulnerability/BIT-jenkins-2021-21611 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2021-21611 · Nota de Segurança
• https://jenkins.io/security/advisory/2021-01-13/#SECURITY-2171 · Aviso do Fabricante
• https://osv.dev/vulnerability/CVE-2021-21611 · Aviso do Fabricante