🇰🇷 한글 설명
Jenkins Extra Columns 플러그인 1.17 이전 버전에서 도구 팁이 마크업 포매터를 통해 제대로 필터링되지 않아 발생하는 XSS 취약점입니다. 원격 공격자는 이를 악용하여 임의의 웹 스크립트나 HTML을 주입할 수 있습니다.
💡 쉬운 설명
Jenkins의 Extra Columns 플러그인에서 사용자 입력을 제대로 검사하지 않아 악의적인 코드가 실행될 수 있는 문제입니다. 공격자가 이를 이용해 다른 사용자의 브라우저에서 원하는 동작을 수행할 수 있습니다.
🇺🇸 원문 (English)
Cross-site scripting (XSS) vulnerability in the Extra Columns plugin before 1.17 in Jenkins allows remote attackers to inject arbitrary web script or HTML by leveraging failure to filter tool tips through the configured markup formatter.
📍 영향받는 시스템
Jenkins Extra Columns 플러그인 1.17 이전 버전
⚔️ 공격 벡터
마크업 포매터를 거치지 않은 도구 팁 필드에 XSS 페이로드 주입
🛡️ 대응 방법
Jenkins Extra Columns 플러그인을 1.17 이상 버전으로 업그레이드
🔧 검증 코드
플러그인 버전이 1.17 이상이면 안전, 1.17 미만 또는 플러그인 미설치 시 패치 필요 없음
find ~ -name 'extra-columns*.jpi' 2>/dev/null | xargs -I {} sh -c 'echo {} | grep -oE "extra-columns-[0-9.]+"'