PT-2022-20420 · Jenkins · Jenkins Multiselect Parameter Plugin+1
CVSS v3.1
5.4
Média
| Vetor | AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N |
Nome do software vulnerável e versões afetadas
Plugin de parâmetros Multiselect do Jenkins, versões 1.3 e anteriores
Descrição
A falha resulta em uma vulnerabilidade de script entre sites (XSS) armazenada, que pode ser explorada por invasores com permissão de Item/Configurar. Isso ocorre porque o plugin não escapa o nome e a descrição dos parâmetros Multiselect nas visualizações que exibem esses parâmetros. A exploração requer que os parâmetros estejam listados em outra página e que essas páginas não estejam protegidas para impedir a exploração. O núcleo do Jenkins impediu a exploração dessas vulnerabilidades em determinadas páginas desde a versão 2.44 e LTS 2.32.2.
Recomendações
Para as versões 1.3 e anteriores do plugin de parâmetros Multiselect do Jenkins, considere atualizar para uma versão que corrija este problema, pois a versão atual não escapa adequadamente o nome e a descrição dos parâmetros Multiselect, levando a uma vulnerabilidade de script entre sites armazenada.
No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.
XSS
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Jenkins
Jenkins Multiselect Parameter Plugin