PT-2022-27951 · Jenkins · Jenkins Spring Config Plugin+1

Valdes Che Zogou + 1 · Publicado 2022-12-07 · Atualizado 2022-12-12 · CVE-2022-46687

Positive Technologies (AI Summary) · Pt

CVSS v3.1

5.4

Média

Vetor base

AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N

Nome do software vulnerável e versões afetadas

Plugin Jenkins Spring Config, versões 2.0.0 e anteriores

Descrição

O problema é uma vulnerabilidade de script entre sites (XSS) armazenada. Ela ocorre porque os nomes de exibição das compilações apresentados na visualização Spring Config não são escapados, permitindo que invasores capazes de alterar esses nomes explorem essa vulnerabilidade.

Recomendações

Para o Jenkins Spring Config Plugin versões 2.0.0 e anteriores, atualize para a versão 2.0.1 ou posterior, que escapa os nomes de exibição das compilações mostrados na visualização Spring Config, resolvendo assim o problema.

Correção

XSS

Enumeração de Fraquezas

CWE-79

Identificadores relacionados

CVE-2022-46687

GHSA-3RRX-364R-6WF6

Produtos afetados

Jenkins

Jenkins Spring Config Plugin

Referências · 7

• https://github.com/jenkinsci/spring-config-plugin/commit/89fea88b24f92233ed31050b8e695eb9b502b8c0 · Nota
• https://github.com/jenkinsci/spring-config-plugin · Nota
• https://osv.dev/vulnerability/GHSA-3rrx-364r-6wf6 · Aviso do Fabricante
• https://jenkins.io/security/advisory/2022-12-07/#SECURITY-2814 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2022-46687 · Nota de Segurança
• https://osv.dev/vulnerability/CVE-2022-46687 · Aviso do Fabricante
• https://t.me/cvenotify/39611 · Publicação no Telegram