PT-2020-15420 · Jenkins · Jenkins Vncrecorder Plugin+1
CVSS v3.1
6.1
Média
| Vetor | AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N |
Nome do software vulnerável e versões afetadas
Plugin Jenkins VncRecorder, versões 1.25 e anteriores
Descrição
O problema está relacionado a uma vulnerabilidade de cross-site scripting (XSS) refletido. Ela ocorre porque o endpoint de validação de formulário
checkVncServ não escapa o valor de um parâmetro, permitindo a execução de scripts maliciosos. Esse endpoint é usado para validação de formulários, e a falta de escape adequado o torna vulnerável a ataques XSS.Recomendações
Para as versões 1.25 e anteriores do plugin Jenkins VncRecorder, atualize para a versão 1.35 ou posterior, que escapa o valor do parâmetro na saída, resolvendo assim o problema.
Como solução alternativa temporária, considere restringir o acesso ao endpoint de validação de formulário
checkVncServ para minimizar o risco de exploração.Correção
XSS
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Jenkins
Jenkins Vncrecorder Plugin