PT-2025-50359
CVE-2025-67641
·
تاريخ النشر
2025-12-03
·
تاريخ التحديث
2025-12-14
الوصف من
CVSS 2.0
9.0
عاليةالمقاييسAV:N/AC:L/Au:S/C:C/I:C/A:C
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات المكون الإضافي Jenkins Coverage 2.3054.ve1ff7b a a 123b والإصدارات الأقدم
الوصف
لا يقوم المكون الإضافي Jenkins Coverage بالتحقق بشكل صحيح من صحة معرّف نتائج التغطية الذي تم تكوينه عند إنشاء نتائج التغطية. وعلى وجه التحديد، يتم التحقق فقط أثناء التكوين في واجهة المستخدم (UI)، وليس عبر واجهة برمجة التطبيقات REST. وهذا يسمح للمهاجمين الذين يمتلكون إذن «Item/Configure» باستخدام عنوان URL بنظام «javascript:» كمعرف عند تكوين مهمة عبر واجهة برمجة التطبيقات (REST API)، مما يؤدي إلى ثغرة أمنية من نوع البرمجة النصية عبر المواقع (XSS) المخزنة. تحدث هذه الثغرة عند تعيين المعرف عبر نقطة النهاية «/job//api/json» باستخدام المعلمة «coverageResultsId».
التوصيات
قم بتحديث المكون الإضافي Jenkins Coverage إلى إصدار أحدث من 2.3054.ve1ff7b a a 123b .
كحل مؤقت، قم بتقييد الوصول إلى نقطة نهاية واجهة برمجة التطبيقات REST
/job/<jobname>/api/json للمستخدمين الذين يمتلكون إذن Item/Configure. وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾