CVE-2022-29046

Plugin Jenkins Subversion versões 2.15.3 e anteriores

O problema é uma vulnerabilidade de script entre sites (XSS) armazenada que ocorre porque o plugin Jenkins Subversion não escapa o nome e a descrição dos parâmetros “List Subversion tags” nas visualizações que exibem parâmetros. Essa vulnerabilidade pode ser explorada por invasores com permissão de Item/Configurar. A exploração requer que os parâmetros estejam listados em outra página, como as páginas “Build With Parameters” e “Parameters” fornecidas pelo Jenkins, e que essas páginas não estejam protegidas para impedir a exploração. O Jenkins impediu a exploração de vulnerabilidades desse tipo nas páginas “Build With Parameters” e “Parameters” desde a versão 2.44 e LTS 2.32.2.

Para as versões 2.15.3 e anteriores do Jenkins Subversion Plugin, atualize o plugin para uma versão posterior à 2.15.3 para resolver o problema. Como solução alternativa temporária, considere restringir o acesso às páginas “Build With Parameters” e “Parameters” para minimizar o risco de exploração. Além disso, certifique-se de que a versão do núcleo do Jenkins esteja atualizada para pelo menos 2.44 ou LTS 2.32.2 para evitar a exploração desse tipo de vulnerabilidade.