CVE-2022-29045

Plugin Jenkins Promoted Builds, versões 873.v6149db d64130 e anteriores, exceto a versão 3.10.1

A falha resulta em uma vulnerabilidade de cross-site scripting (XSS) armazenada, que pode ser explorada por invasores com permissão Item/Configure. Isso ocorre porque o nome e a descrição dos parâmetros de compilação promovida nas visualizações que exibem parâmetros não são escapados adequadamente. A exploração requer que os parâmetros estejam listados em outra página, como as páginas “Build With Parameters” e “Parameters” fornecidas pelo Jenkins (core), e que essas páginas não estejam protegidas para impedir a exploração. No entanto, o Jenkins (core) impediu a exploração de vulnerabilidades desse tipo nas páginas “Build With Parameters” e “Parameters” desde a versão 2.44 e LTS 2.32.2.

Para as compilações promovidas pelo Jenkins com as versões 873.v6149db d64130 e anteriores do plugin, exceto a versão 3.10.1, atualize para uma versão que inclua a correção para este problema.

No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.