CVE-2022-34188

Plugin de Parâmetros Ocultos do Jenkins, versões 0.0.4 e anteriores

O Plugin de Parâmetros Ocultos do Jenkins não escapa o nome e a descrição dos parâmetros ocultos nas visualizações que exibem parâmetros, resultando em uma vulnerabilidade de script entre sites (XSS) armazenada. Essa vulnerabilidade pode ser explorada por invasores com permissão de Item/Configurar. A exploração requer que os parâmetros estejam listados em outra página, como as páginas “Build With Parameters” e “Parameters” fornecidas pelo Jenkins (core), e que essas páginas não estejam protegidas para impedir a exploração. O Jenkins (core) impediu a exploração de vulnerabilidades desse tipo nas páginas “Build With Parameters” e “Parameters” desde a versão 2.44 e LTS 2.32.2.

Para as versões 0.0.4 e anteriores do Jenkins Hidden Parameter Plugin, considere desativar o plugin até que um patch esteja disponível para impedir a exploração da vulnerabilidade de cross-site scripting (XSS) armazenada. Restrinja o acesso às páginas “Build With Parameters” e “Parameters” fornecidas pelo Jenkins (core) para minimizar o risco de exploração. Evite usar os parâmetros name e description dos parâmetros do Hidden Parameter em visualizações que exibam parâmetros até que o problema seja resolvido. No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.