PT-2025-11701 · Jenkins · Jenkins Anchorchain Plugin+1

Lotfi Yahi · Publicado 2025-03-19 · Atualizado 2025-10-08 · CVE-2025-30196

Positive Technologies (AI Summary) · Pt

CVSS v3.1

8.0

Alta

Vetor base

AV:N/AC:L/PR:L/UI:R/S:U/C:H/I:H/A:H

Nome do Software Vulnerável e Versões Afetadas Jenkins AnchorChain Plugin versão 1.0

Descrição A falha permite que atacantes explorem uma vulnerabilidade de cross-site scripting (XSS) armazenado ao controlar o arquivo de entrada para a etapa de pós-build do Anchor Chain. Isso se deve ao fato de o plugin não limitar os esquemas de URL para os links que cria com base no conteúdo do workspace, permitindo o esquema javascript:.

Recomendações Para o Jenkins AnchorChain Plugin versão 1.0, considere desativar a etapa de pós-build do Anchor Chain até que um patch esteja disponível para prevenir a exploração da vulnerabilidade de XSS armazenado. Restrinja o acesso ao conteúdo do workspace para minimizar o risco de atacantes controlarem o arquivo de entrada.

Correção

XSS

Enumeração de Fraquezas

CWE-79

Identificadores relacionados

CVE-2025-30196

GHSA-XXRG-MG63-QFPJ

Produtos afetados

Jenkins

Jenkins Anchorchain Plugin

Referências · 9

• https://github.com/jenkinsci/anchor-chain-plugin · Nota
• https://t.me/cvetracker/19455 · Publicação no Telegram
• https://osv.dev/vulnerability/GHSA-xxrg-mg63-qfpj · Aviso do Fabricante
• https://jenkins.io/security/advisory/2025-03-19/#SECURITY-3529 · Aviso do Fabricante
• https://osv.dev/vulnerability/CVE-2025-30196 · Aviso do Fabricante
• https://twitter.com/CVEnew/status/1902387399281537360 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2025-30196 · Nota de Segurança
• https://t.me/cvedetector/20641 · Publicação no Telegram
• https://t.me/cveNotify/137893 · Publicação no Telegram