CVE-2022-30961

Plugin Jenkins Autocomplete Parameter, versões 1.1 e anteriores

A falha resulta em uma vulnerabilidade de script entre sites (XSS) armazenada, devido à falta de escape no nome dos parâmetros “Dropdown Autocomplete” e “Auto Complete String” em visualizações que exibem parâmetros. Essa vulnerabilidade pode ser explorada por invasores com permissão de Item/Configurar. A exploração requer que os parâmetros estejam listados em outra página e que essas páginas não estejam protegidas para impedir a exploração. Observa-se que o Jenkins (core) impediu a exploração de vulnerabilidades semelhantes em determinadas páginas desde a versão 2.44 e LTS 2.32.2.

Para as versões 1.1 e anteriores do Jenkins Autocomplete Parameter Plugin, considere atualizar para uma versão que corrija este problema, embora a versão corrigida específica não seja fornecida nas informações disponíveis. Como solução alternativa temporária, certifique-se de que as páginas que listam parâmetros, como as páginas “Build With Parameters” e “Parameters”, estejam protegidas para impedir a exploração. Além disso, revise a configuração do Jenkins (core) e de outros plug-ins para garantir que estejam atualizados a fim de evitar vulnerabilidades semelhantes, já que vários plug-ins foram atualizados para listar parâmetros de forma a impedir a exploração por padrão. No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.