Описание
Jenkins Coverage Plugin 2.3054.ve1ff7b_a_a_123b_ and earlier does not validate the configured coverage results ID when creating coverage results, only when submitting the job configuration through the UI, allowing attackers with Item/Configure permission to use a javascript: scheme URL as identifier by configuring the job through the REST API, resulting in a stored cross-site scripting (XSS) vulnerability.
Ссылки
- Vendor Advisory
Уязвимые конфигурации
Конфигурация 1Версия до 2.3054.ve1ff7b_a_a_123b (включая)
cpe:2.3:a:jenkins:coverage:*:*:*:*:*:jenkins:*:*
EPSS
Процентиль: 11%
0.00038
Низкий
5.4 Medium
CVSS3
8 High
CVSS3
Дефекты
CWE-79
Связанные уязвимости
CVSS3: 8
github
около 2 месяцев назад
Jenkins Coverage Plugin has a stored cross-site scripting (XSS) vulnerability
CVSS3: 8
fstec
2 месяца назад
Уязвимость плагина Coverage сервера автоматизации Jenkins, связанная с непринятием мер по защите структуры веб-страницы, позволяющая нарушителю проводить межсайтовые сценарные атаки
EPSS
Процентиль: 11%
0.00038
Низкий
5.4 Medium
CVSS3
8 High
CVSS3
Дефекты
CWE-79