CVE-2023-35145
ŚrednieCVSS 5.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 46 - wyżej niż 46% wszystkich znanych CVE
Streszczenie
Wtyczka Jenkins Sonargraph Integration w wersji 5.0.1 i wcześniejszych nie zabezpiecza ścieżki pliku oraz nazwy projektu w formularzu walidacji pola Log file, co prowadzi do podatności na przechowywane ataki typu cross-site scripting.
Ocena ryzyka
Atakujący z uprawnieniami Item/Configure mogą wykorzystać tę podatność do wstrzykiwania złośliwego kodu, co może prowadzić do kradzieży danych lub przejęcia kontroli nad systemem.
Rekomendacja
Zaleca się aktualizację wtyczki do najnowszej wersji, która naprawia tę podatność oraz przegląd uprawnień użytkowników w celu ograniczenia dostępu do krytycznych funkcji.
Oryginalny opis (angielski, źródło NVD)
Jenkins Sonargraph Integration Plugin 5.0.1 and earlier does not escape the file path and the project name for the Log file field form validation, resulting in a stored cross-site scripting vulnerability exploitable by attackers with Item/Configure permission.