CVE-2024-54004

Nome do software vulnerável e versões afetadas:

Plugin de parâmetro “Lista de objetos do sistema de arquivos” do Jenkins, versões 0.0.14 e anteriores

Descrição:

A vulnerabilidade permite que invasores com permissão “Item/Configurar” enumerem nomes de arquivos no sistema de arquivos do controlador do Jenkins devido à falta de restrição no caminho utilizado pelo parâmetro “Lista de objetos do sistema de arquivos”.

Recomendações:

Para o plugin Jenkins Filesystem List Parameter nas versões 0.0.14 e anteriores, atualize para a versão 0.0.15 ou posterior, que restringe os caminhos usados pelo parâmetro Lista de objetos do sistema de arquivos a uma lista de permissões, com o diretório base padrão definido como $JENKINS HOME/userContent/. Além disso, considere configurar a lista de permissões para incluir diretórios base personalizados, conforme necessário.