CVE-2023-40350
ŚrednieCVSS 5.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 39 - wyżej niż 39% wszystkich znanych CVE
Streszczenie
Wtyczka Jenkins Docker Swarm w wersji 1.11 i wcześniejszych nie ucieka wartości zwracanych z Dockera przed ich wstawieniem do widoku Dashboard Docker Swarm, co prowadzi do podatności na przechowywane ataki XSS.
Ocena ryzyka
Atakujący, który ma kontrolę nad odpowiedziami z Dockera, może wykorzystać tę podatność do wykonania złośliwego kodu w kontekście przeglądarki użytkownika, co może prowadzić do kradzieży danych lub przejęcia sesji.
Rekomendacja
Zaleca się aktualizację wtyczki Jenkins Docker Swarm do najnowszej wersji, aby usunąć tę podatność oraz wprowadzenie dodatkowych środków zabezpieczających, takich jak walidacja i sanitizacja danych wejściowych.
Oryginalny opis (angielski, źródło NVD)
Jenkins Docker Swarm Plugin 1.11 and earlier does not escape values returned from Docker before inserting them into the Docker Swarm Dashboard view, resulting in a stored cross-site scripting (XSS) vulnerability exploitable by attackers able to control responses from Docker.