CVE-2022-29042

Plugin Jenkins Job Generator, versões 1.22 e anteriores

O problema está relacionado a uma vulnerabilidade de script entre sites (XSS) armazenada. Ela ocorre porque o plugin Jenkins Job Generator não escapa o nome e a descrição dos parâmetros Generator Parameter e Generator Choice nas visualizações “Build With Parameters” dos trabalhos do Job Generator. Essa vulnerabilidade pode ser explorada por invasores com permissão Item/Configure. A exploração requer que os parâmetros estejam listados em outra página e que essas páginas não estejam protegidas para impedir a exploração. No entanto, o Jenkins (core) impediu a exploração de vulnerabilidades desse tipo nas páginas “Build With Parameters” e “Parameters” desde a versão 2.44 e LTS 2.32.2.

Para as versões 1.22 e anteriores do plugin Jenkins Job Generator, considere desativar os parâmetros Generator Parameter e Generator Choice nas visualizações Build With Parameters dos trabalhos do Job Generator até que um patch esteja disponível. Restrinja o acesso às visualizações Build With Parameters para minimizar o risco de exploração. Evite usar os campos de nome e descrição dos parâmetros Generator Parameter e Generator Choice nos pontos de extremidade da API afetados até que o problema seja resolvido. No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.