CVE-2021-21666

Plugin Jenkins Kiuwan, versões 1.6.0 e anteriores

O problema está relacionado a uma vulnerabilidade de cross-site scripting (XSS) refletido. Ela ocorre porque o plugin Jenkins Kiuwan não escapa os parâmetros de consulta em uma mensagem de erro para um endpoint de validação de formulário. Isso permite que um invasor injete scripts maliciosos na mensagem de erro, levando potencialmente à execução de código não autorizado no navegador do usuário. Apenas versões mais antigas do Jenkins são afetadas por essa vulnerabilidade; o Jenkins 2.275 e versões mais recentes, bem como o LTS 2.263.2 e versões mais recentes, incluem uma proteção que impede que essa vulnerabilidade seja explorada.

Para as versões 1.6.0 e anteriores do plugin Jenkins Kiuwan, atualize para a versão 1.6.1 ou mais recente, que escapa as partes afetadas da mensagem de erro no endpoint de validação de formulário.

Como solução alternativa temporária, considere restringir o acesso ao endpoint de validação de formulário até que o problema seja resolvido.