CVE-2022-34791

Plugin Jenkins Validating Email Parameter, versões 1.10 e anteriores

A falha resulta em uma vulnerabilidade de script entre sites (XSS) armazenada. Isso ocorre porque o plugin não escapa o nome e a descrição do tipo de parâmetro. Invasores com permissão de Item/Configurar podem explorar essa vulnerabilidade. Além disso, o plugin desativa o reforço de segurança adicionado no Jenkins 2.44 e no LTS 2.32.2, que normalmente protege as páginas “Build With Parameters” e “Parameters” contra tais vulnerabilidades por padrão.

Para as versões 1.10 e anteriores do plugin Jenkins Validating Email Parameter, considere desativar o plugin até que um patch esteja disponível para evitar a exploração da vulnerabilidade de cross-site scripting armazenado. Restrinja o acesso às páginas “Build With Parameters” e “Parameters” para minimizar o risco de exploração. Evite usar os campos de nome e descrição do tipo de parâmetro no plug-in afetado até que o problema seja resolvido. No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.