CVE-2022-25209

Plugin Jenkins Chef Sinatra, versões 1.20 e anteriores

O problema decorre do fato de o plugin não configurar seu analisador XML para impedir ataques de entidade externa XML (XXE), permitindo que invasores façam com que o Jenkins analise uma resposta XML manipulada para extrair segredos do controlador do Jenkins ou para falsificação de solicitações do lado do servidor. Além disso, o plugin não realiza uma verificação de permissão em um método que implementa a validação de formulários.

Para as versões 1.20 e anteriores, como solução temporária, considere desativar a funcionalidade do analisador XML até que um patch esteja disponível. Restrinja o acesso ao plugin para minimizar o risco de exploração. No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.