CVE-2022-43432

Plugin Jenkins XFramium Builder, versões 1.0.22 e anteriores

A vulnerabilidade permite ataques de script entre sites (XSS) por usuários com capacidade de controlar arquivos em áreas de trabalho, artefatos arquivados, etc. Isso ocorre porque o plugin Jenkins XFramium Builder desativa programaticamente a proteção da Política de Segurança de Conteúdo (Content-Security-Policy) para conteúdo gerado pelo usuário. O cabeçalho da Política de Segurança de Conteúdo é normalmente definido pelo Jenkins para arquivos estáticos servidos pelo Jenkins, como espaços de trabalho, /userContent ou artefatos arquivados, a menos que uma URL de raiz de recurso seja especificada. No entanto, o plugin XFramium Builder desativa globalmente esse cabeçalho, possibilitando que invasores explorem essa vulnerabilidade.

Para as versões 1.0.22 e anteriores do plugin Jenkins XFramium Builder, considere desativar o plugin até que um patch esteja disponível para prevenir ataques de cross-site scripting. Restrinja o acesso a conteúdo gerado pelo usuário em espaços de trabalho e artefatos arquivados para minimizar o risco de exploração. Se possível, configure uma URL de raiz de recursos para instâncias do Jenkins a fim de impedir a desativação global do cabeçalho Content-Security-Policy.