PT-2022-18282 · Jenkins · Jenkins Favorite Plugin+1

Kevin Guerroudj + 1 · Publicado 2022-03-15 · Atualizado 2023-11-22 · CVE-2022-27196

Positive Technologies (AI Summary) · Pt

CVSS v3.1

5.4

Média

Vetor base

AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N

Nome do software vulnerável e versões afetadas

Plugin Jenkins Favorite, versões 2.4.0 e anteriores

Descrição

O problema resulta em uma vulnerabilidade de script entre sites (XSS) armazenada. Isso ocorre porque os nomes dos trabalhos na coluna de favoritos não são escapados adequadamente. Invasores com permissões de Item/Configurar ou Item/Criar podem explorar essa vulnerabilidade.

Recomendações

Para o Jenkins Favorite Plugin nas versões 2.4.0 e anteriores, atualize para uma versão posterior à 2.4.0 para resolver o problema.

Correção

XSS

Enumeração de Fraquezas

CWE-79

Identificadores relacionados

CVE-2022-27196

GHSA-874R-46C6-7P4R

Produtos afetados

Jenkins

Jenkins Favorite Plugin

Referências · 7

• https://github.com/jenkinsci/favorite-plugin · Nota
• https://github.com/jenkinsci/favorite-plugin/commit/543a4d87c4fade02173f793905a99adec517bc3b · Nota
• https://osv.dev/vulnerability/CVE-2022-27196 · Aviso do Fabricante
• https://osv.dev/vulnerability/GHSA-874r-46c6-7p4r · Aviso do Fabricante
• https://jenkins.io/security/advisory/2022-03-15/#SECURITY-2557 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2022-27196 · Nota de Segurança
• http://openwall.com/lists/oss-security/2022/03/15/2 · Nota