PT-2022-22055 · Jenkins · Jenkins Filesystem List Parameter Plugin+1

Daniel Beck + 2 · Publicado 2022-06-22 · Atualizado 2023-11-03 · CVE-2022-34187

Positive Technologies (AI Summary) · Pt

CVSS v3.1

8.0

Alta

Vetor base

AV:N/AC:L/PR:L/UI:R/S:U/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas

Plugin Jenkins Filesystem List Parameter, versões 0.0.7 e anteriores

Descrição

O problema está relacionado a uma vulnerabilidade de script entre sites (XSS) armazenada. Ela ocorre porque o plugin não escapa o nome e a descrição dos parâmetros da lista de objetos do sistema de arquivos nas visualizações que exibem parâmetros. Essa vulnerabilidade pode ser explorada por invasores com permissão Item/Configurar. A exploração requer que os parâmetros estejam listados em outra página e que essas páginas não estejam protegidas para impedir a exploração.

Recomendações

Para as versões 0.0.7 e anteriores do plugin Jenkins Filesystem List Parameter, considere atualizar para uma versão que corrija este problema, já que não há solução alternativa específica para essas versões.

No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

XSS

Enumeração de Fraquezas

CWE-79

Identificadores relacionados

CVE-2022-34187

GHSA-X95W-QF3M-PQPX

Produtos afetados

Jenkins

Jenkins Filesystem List Parameter Plugin

Referências · 7

• https://github.com/jenkinsci/filesystem-list-parameter-plugin · Nota
• https://jenkins.io/security/advisory/2022-06-22/#SECURITY-2784 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2022-34187 · Nota de Segurança
• https://t.me/cibsecurity/45036 · Publicação no Telegram
• https://osv.dev/vulnerability/CVE-2022-34187 · Aviso do Fabricante
• https://osv.dev/vulnerability/GHSA-x95w-qf3m-pqpx · Aviso do Fabricante
• https://t.me/cvenotify/60451 · Publicação no Telegram