CVE-2022-41239

Plugin Jenkins DotCi, versões 2.40.00 e anteriores

A falha resulta em uma vulnerabilidade de script entre sites (XSS) armazenada, devido à falta de escape do parâmetro de nome de usuário do GitHub fornecido às notificações de commit ao exibi-las em uma causa de compilação. Essa vulnerabilidade pode ser explorada por invasores capazes de enviar notificações de commit maliciosas para o endpoint “/githook/”. A vulnerabilidade só pode ser explorada em determinadas versões do Jenkins, especificamente 2.314 e anteriores, e LTS 2.303.1 e anteriores.

Para as versões 2.40.00 e anteriores do plugin Jenkins DotCi, considere desativar a exibição de notificações de commit na causa da compilação até que um patch esteja disponível.

Restrinja o acesso ao endpoint “/githook/” para minimizar o risco de exploração.

Como solução temporária, evite usar o parâmetro GitHub user name nas notificações de commit até que o problema seja resolvido.

Para as versões 2.314 e anteriores do Jenkins, e LTS 2.303.1 e anteriores, siga o guia de atualização LTS para atualizar para uma versão mais recente.