PT-2024-22299 · Jenkins · Jenkins Owasp Dependency-Check Plugin+1

Tkmwrbl · Publicado 2024-03-06 · Atualizado 2025-01-19 · CVE-2024-28153

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.3

Alta

Vetor base

AV:N/AC:L/PR:L/UI:R/S:U/C:H/I:H/A:N

Nome do software vulnerável e versões afetadas

Plugin Jenkins OWASP Dependency-Check, versões 5.4.5 e anteriores

Descrição

O problema está relacionado a uma vulnerabilidade de script entre sites (XSS) armazenado. Isso ocorre porque os metadados de vulnerabilidade dos relatórios do Dependency-Check não são escapados adequadamente, permitindo a possível execução de scripts maliciosos.

Recomendações

Para o plugin Jenkins OWASP Dependency-Check versões 5.4.5 e anteriores, atualize para uma versão que escape adequadamente os metadados de vulnerabilidade para prevenir ataques XSS armazenados. No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

XSS

Enumeração de Fraquezas

CWE-79

Identificadores relacionados

CVE-2024-28153

GHSA-9PP4-MX6X-XH36

Produtos afetados

Jenkins

Jenkins Owasp Dependency-Check Plugin

Referências · 10

• https://github.com/jenkinsci/dependency-check-plugin/commit/b3b286a9615603f0294eb740193d153d843fae3a · Nota
• https://github.com/jenkinsci/dependency-check-plugin · Nota
• https://osv.dev/vulnerability/CVE-2024-28153 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2024-28153 · Nota de Segurança
• https://jenkins.io/security/advisory/2024-03-06/#SECURITY-3344 · Aviso do Fabricante
• https://t.me/cvenotify/73184 · Publicação no Telegram
• https://t.me/cvenotify/107887 · Publicação no Telegram
• https://t.me/cvenotify/73150 · Publicação no Telegram
• https://osv.dev/vulnerability/GHSA-9pp4-mx6x-xh36 · Aviso do Fabricante
• http://openwall.com/lists/oss-security/2024/03/06/3 · Nota