CVE-2022-43434

Plugin Jenkins NeuVector Vulnerability Scanner, versões 1.20 e anteriores

A vulnerabilidade permite ataques de script entre sites (XSS) por usuários com capacidade de controlar arquivos em áreas de trabalho, artefatos arquivados, etc. Isso ocorre porque o plugin NeuVector Vulnerability Scanner desativa programaticamente a proteção da Política de Segurança de Conteúdo (Content-Security-Policy) para conteúdo gerado pelo usuário nessas áreas. Instâncias do Jenkins com uma URL de raiz de recursos configurada não são afetadas.

Para as versões 1.20 e anteriores do plugin Jenkins NeuVector Vulnerability Scanner, considere desativar o plugin até que um patch esteja disponível para evitar ataques de cross-site scripting. Restrinja o acesso a conteúdo gerado pelo usuário em áreas de trabalho e artefatos arquivados para minimizar o risco de exploração. Evite usar o recurso DirectoryBrowserSupport no Jenkins até que o problema seja resolvido. No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.