CVE-2023-33002
ŚrednieCVSS 5.4Prawdopodobieństwo exploitacji (EPSS)
Wysokie ryzykoPercentyl 82 - wyżej niż 82% wszystkich znanych CVE
Streszczenie
Wtyczka Jenkins TestComplete support w wersji 2.8.1 i wcześniejszych nie ucieka nazwy projektu TestComplete, co prowadzi do podatności na przechowywane ataki typu cross-site scripting (XSS). Atakujący z uprawnieniami Item/Configure mogą wykorzystać tę lukę.
Ocena ryzyka
Organizacja może być narażona na ataki XSS, co może prowadzić do kradzieży danych lub przejęcia sesji użytkowników. Wykorzystanie tej podatności może zagrażać integralności aplikacji i danych.
Rekomendacja
Zaleca się aktualizację wtyczki do najnowszej wersji, która naprawia tę lukę. Należy również ograniczyć uprawnienia do Item/Configure dla użytkowników, którzy nie potrzebują tych uprawnień.
Oryginalny opis (angielski, źródło NVD)
Jenkins TestComplete support Plugin 2.8.1 and earlier does not escape the TestComplete project name, resulting in a stored cross-site scripting (XSS) vulnerability exploitable by attackers with Item/Configure permission.