CVE-2022-34185

Plugin de parâmetros de data do Jenkins, versões 0.0.4 e anteriores

O problema é uma vulnerabilidade de script entre sites (XSS) armazenada que ocorre porque o plugin de parâmetros de data do Jenkins não escapa o nome e a descrição dos parâmetros de data nas visualizações que exibem esses parâmetros. Essa vulnerabilidade pode ser explorada por invasores com permissão de Item/Configurar. A exploração requer que os parâmetros estejam listados em outra página, como as páginas “Build With Parameters” e “Parameters” fornecidas pelo Jenkins (core), e que essas páginas não estejam protegidas para impedir a exploração. O Jenkins (core) impediu a exploração de vulnerabilidades desse tipo nas páginas “Build With Parameters” e “Parameters” desde a versão 2.44 e LTS 2.32.2.

Para as versões 0.0.4 e anteriores do Jenkins Date Parameter Plugin, atualize para uma versão que corrija este problema. Como solução temporária, considere restringir o acesso às páginas “Build With Parameters” e “Parameters” para minimizar o risco de exploração. Além disso, certifique-se de que a versão do Jenkins (core) seja pelo menos 2.44 ou LTS 2.32.2 para impedir a exploração desse tipo de vulnerabilidade.