🇰🇷 한글 설명
Jenkins Build Failure Analyzer 플러그인 1.5.1 이전 버전의 XSS 취약점으로, 인증된 원격 사용자가 지정되지 않은 벡터를 통해 임의의 웹 스크립트 또는 HTML을 주입할 수 있습니다. 이를 악용하면 다른 사용자의 브라우저 세션에서 악의적인 코드가 실행되어 세션 탈취, 개인정보 유출 등의 피해가 발생할 수 있습니다.
💡 쉬운 설명
Jenkins 시스템 내에서 정상 사용자인 척 악의적인 코드를 몰래 삽입하는 공격입니다. 다른 관리자나 사용자가 영향받은 페이지를 방문하면 해커의 코드가 실행되어 계정이 탈취될 수 있습니다.
🇺🇸 원문 (English)
Cross-site scripting (XSS) vulnerability in the Build Failure Analyzer plugin before 1.5.1 for Jenkins allows remote authenticated users to inject arbitrary web script or HTML via unspecified vectors.
📍 영향받는 시스템
Jenkins Build Failure Analyzer plugin versions < 1.5.1
⚔️ 공격 벡터
Build Failure Analyzer 플러그인의 입력 필터링 부족으로 인해 미확인 파라미터에 XSS 페이로드 주입
🛡️ 대응 방법
Jenkins Build Failure Analyzer 플러그인을 1.5.1 이상으로 업그레이드
🔧 검증 코드
플러그인 버전이 1.5.1 이상이면 안전, 1.5.0 이하면 취약한 버전입니다.
ls -d /var/lib/jenkins/plugins/build-failure-analyzer* 2>/dev/null | head -1 | xargs -I {} basename {} | grep -oE '[0-9]+\.[0-9]+\.[0-9]+'