PT-2022-18294 · Jenkins · Jenkins Global-Build-Stats Plugin+1

S0Nnguy3N + 1 · Publicado 2022-03-15 · Atualizado 2023-11-15 · CVE-2022-27207

Positive Technologies (AI Summary) · Pt

CVSS v3.1

4.8

Média

Vetor base

AV:N/AC:L/PR:H/UI:R/S:C/C:L/I:L/A:N

Nome do software vulnerável e versões afetadas

Plugin Jenkins global-build-stats, versões 1.5 e anteriores

Descrição

O problema está relacionado a uma vulnerabilidade de script entre sites (XSS) armazenada. Ela ocorre porque vários campos na configuração do gráfico na página “Global Build Stats” não são escapados adequadamente. Essa vulnerabilidade pode ser explorada por invasores que possuam permissão de nível geral/administrador.

Recomendações

Para o plugin Jenkins global-build-stats versões 1.5 e anteriores, atualize para uma versão posterior à 1.5 para resolver o problema. Como solução temporária, considere restringir o acesso à página “Global Build Stats” para minimizar o risco de exploração.

Correção

XSS

Enumeração de Fraquezas

CWE-79

Identificadores relacionados

CVE-2022-27207

GHSA-WJ78-8XRX-PHR7

Produtos afetados

Jenkins

Jenkins Global-Build-Stats Plugin

Referências · 8

• https://github.com/jenkinsci/global-build-stats-plugin · Nota
• https://github.com/jenkinsci/global-build-stats-plugin/commit/214f74360b3a91734b6e2a4b281ff0086a1e0679 · Nota
• https://t.me/cibsecurity/38939 · Publicação no Telegram
• https://jenkins.io/security/advisory/2022-03-15/#SECURITY-1886 · Aviso do Fabricante
• https://osv.dev/vulnerability/CVE-2022-27207 · Aviso do Fabricante
• http://openwall.com/lists/oss-security/2022/03/15/2 · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2022-27207 · Nota de Segurança
• https://osv.dev/vulnerability/GHSA-wj78-8xrx-phr7 · Aviso do Fabricante