CVE-2022-34184

Plugin Jenkins CRX Content Package Deployer, versões 1.9 e anteriores

O problema é uma vulnerabilidade de script entre sites (XSS) armazenada que ocorre porque o plugin não escapa o nome e a descrição dos parâmetros de escolha do pacote de conteúdo CRX nas visualizações que exibem esses parâmetros. Essa vulnerabilidade pode ser explorada por invasores com permissão Item/Configure. A exploração requer que os parâmetros estejam listados em outra página, como as páginas “Build With Parameters” e “Parameters” fornecidas pelo Jenkins (core), e que essas páginas não estejam protegidas para impedir a exploração. O Jenkins (core) impediu a exploração de vulnerabilidades desse tipo nas páginas “Build With Parameters” e “Parameters” desde a versão 2.44 e LTS 2.32.2.

Para as versões 1.9 e anteriores do plugin Jenkins CRX Content Package Deployer, considere atualizar para uma versão que escape o nome e a descrição dos parâmetros de escolha do pacote de conteúdo CRX para evitar vulnerabilidades de cross-site scripting (XSS) armazenadas. Como solução alternativa temporária, restrinja o acesso às páginas “Build With Parameters” e “Parameters” para minimizar o risco de exploração. Além disso, certifique-se de que o Jenkins (core) esteja atualizado para pelo menos a versão 2.44 ou LTS 2.32.2 para evitar a exploração dessa vulnerabilidade.