PT-2022-27482 · Jenkins · Jenkins Junit Plugin+1

Wadeck Follonier · Publicado 2022-11-15 · Atualizado 2023-11-22 · CVE-2022-45380

Positive Technologies (AI Summary) · Pt

CVSS v3.1

5.4

Média

Vetor base

AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N

Nome do software vulnerável e versões afetadas

Plugin Jenkins JUnit, versões 1159.v0b 396e1e07dd e anteriores

Descrição

O problema está relacionado à conversão de URLs HTTP(S) na saída do relatório de teste em links clicáveis de maneira insegura, resultando em uma vulnerabilidade de script entre sites (XSS) armazenada. Essa vulnerabilidade pode ser explorada por invasores com permissão Item/Configure.

Recomendações

Para as versões 1159.v0b 396e1e07dd e anteriores do Jenkins JUnit Plugin, atualize para uma versão que não converta mais URLs em links clicáveis, como a versão 1160.vf1f01a a ea b 7f ou posterior.

Correção

XSS

Enumeração de Fraquezas

CWE-79

Identificadores relacionados

CVE-2022-45380

GHSA-298R-5C48-7Q2R

RHSA-2023:0560

RHSA-2023:0777

Produtos afetados

Jenkins

Jenkins Junit Plugin

Referências · 8

• https://github.com/jenkinsci/junit-plugin · Nota
• https://github.com/jenkinsci/junit-plugin/commit/f1f01aaeab7fa35017112f6163b89283390f5da8 · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2022-45380 · Nota de Segurança
• https://osv.dev/vulnerability/CVE-2022-45380 · Aviso do Fabricante
• http://openwall.com/lists/oss-security/2022/11/15/4 · Nota
• https://osv.dev/vulnerability/GHSA-298r-5c48-7q2r · Aviso do Fabricante
• https://jenkins.io/security/advisory/2022-11-15/#SECURITY-2888 · Aviso do Fabricante
• https://t.me/cvenotify/37794 · Publicação no Telegram