CVE-2020-2284

Plugin Jenkins Liquibase Runner, versões 1.4.5 e anteriores

A vulnerabilidade permite que invasores forneçam arquivos XML maliciosos que utilizam entidades externas para extrair segredos do controlador do Jenkins ou para falsificação de solicitações do lado do servidor. Isso é possível porque o plugin não configura seu analisador XML para impedir ataques de entidade externa XML (XXE), permitindo que invasores façam com que o Jenkins analise arquivos XML maliciosos ao avaliar conjuntos de alterações do Liquibase.

Para as versões 1.4.5 e anteriores do plugin Jenkins Liquibase Runner, atualize para a versão 1.4.7 ou posterior, que não analisa mais conjuntos de alterações do Liquibase, mitigando assim o risco de ataques XXE.