CVE-2020-2200

Plugin Jenkins Play Framework, versões 1.0.2 e anteriores

O problema diz respeito a uma vulnerabilidade de injeção de comando do sistema operacional. Ela ocorre porque um endpoint de validação de formulário no Plugin Play Framework executa o comando play para validar um determinado arquivo de entrada, e os usuários podem especificar o caminho para esse comando no Jenkins master. Essa vulnerabilidade pode ser explorada por usuários que possam armazenar um arquivo no Jenkins master, por exemplo, por meio do arquivamento de artefatos.

Para as versões 1.0.2 e anteriores do Jenkins Play Framework Plugin, considere restringir o acesso ao endpoint de validação de formulário para minimizar o risco de exploração até que uma correção esteja disponível. Como solução alternativa temporária, evite usar o endpoint que executa o comando play para validação de arquivos.