PT-2024-35374 · Jenkins · Jenkins Authorize Project Plugin+1

Kevin Guerroudj · Publicado 2024-11-13 · Atualizado 2025-10-03 · CVE-2024-52552

Positive Technologies (AI Summary) · Pt

CVSS v3.1

8.0

Alta

Vetor base

AV:N/AC:L/PR:L/UI:R/S:U/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas

Plugin Jenkins Authorize Project, versões 1.7.2 e anteriores

Descrição

O problema está relacionado a uma vulnerabilidade de script entre sites (XSS) armazenada. Ela ocorre quando uma string contendo o nome da tarefa é avaliada com JavaScript na visualização de autorização. Essa vulnerabilidade pode ser explorada por invasores com permissão de Item/Configurar.

Recomendações

Para o Jenkins Authorize Project Plugin versões 1.7.2 e anteriores, atualize para a versão 1.8.0 ou posterior, que não avalia mais uma string contendo o nome da tarefa com JavaScript na visualização de Autorização.

Correção

XSS

Enumeração de Fraquezas

CWE-79

Identificadores relacionados

CVE-2024-52552

GHSA-8886-8V27-85J8

Produtos afetados

Jenkins

Jenkins Authorize Project Plugin

Referências · 9

• https://github.com/jenkinsci/authorize-project-plugin · Nota
• https://twitter.com/CVEnew/status/1856828012958028161 · Publicação no Twitter
• https://jenkins.io/security/advisory/2024-11-13/#SECURITY-3010 · Aviso do Fabricante
• https://t.me/cvedetector/10880 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2024-52552 · Nota de Segurança
• https://osv.dev/vulnerability/CVE-2024-52552 · Aviso do Fabricante
• https://osv.dev/vulnerability/GHSA-8886-8v27-85j8 · Aviso do Fabricante
• https://t.me/cveNotify/137271 · Publicação no Telegram
• https://twitter.com/VulmonFeeds/status/1856833788589862977 · Publicação no Twitter