CVE-2020-2298

Plugin Jenkins Nerrvana, versões 1.02.06 e anteriores

A vulnerabilidade permite que invasores façam com que o Jenkins analise solicitações HTTP maliciosas contendo dados XML, utilizando entidades externas para extrair segredos do controlador do Jenkins ou para falsificação de solicitações no lado do servidor. Isso é possível porque o analisador XML não está configurado para impedir ataques de entidade externa XML (XXE). A análise XML também está exposta como um ponto de extremidade de validação de formulário que não requer solicitações POST, tornando-a vulnerável à exploração por usuários sem permissões específicas via CSRF.

Para as versões 1.02.06 e anteriores do plugin Jenkins Nerrvana, considere desativar a funcionalidade do analisador XML até que um patch esteja disponível para prevenir ataques XXE. Restrinja o acesso ao endpoint de validação de formulário para minimizar o risco de exploração. No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.