CVE-2023-39151
ŚrednieCVSS 5.4Prawdopodobieństwo exploitacji (EPSS)
Podwyższone ryzykoPercentyl 54 - wyżej niż 54% wszystkich znanych CVE
Streszczenie
Jenkins w wersjach 2.415 i wcześniejszych oraz LTS 2.401.2 i wcześniejszych nie sanitizuje ani nie koduje poprawnie adresów URL w logach budowy, co prowadzi do podatności na przechowywane ataki XSS, które mogą być wykorzystywane przez atakujących mających kontrolę nad zawartością logów budowy.
Ocena ryzyka
Atakujący mogą wykorzystać tę podatność do wstrzykiwania złośliwego kodu JavaScript do logów budowy, co może prowadzić do kradzieży danych lub przejęcia sesji użytkowników.
Rekomendacja
Zaleca się aktualizację Jenkins do najnowszej wersji, aby usunąć tę podatność oraz przegląd logów budowy w celu identyfikacji potencjalnych ataków.
Oryginalny opis (angielski, źródło NVD)
Jenkins 2.415 and earlier, LTS 2.401.2 and earlier does not sanitize or properly encode URLs in build logs when transforming them into hyperlinks, resulting in a stored cross-site scripting (XSS) vulnerability exploitable by attackers able to control build log contents.