🇰🇷 한글 설명
Jenkins Mailer Plugin 1.20 미만 버전에서 변경 로그를 기반으로 사용자에게 이메일을 보낼 때 정보가 노출될 수 있는 취약점이 존재합니다. 이메일 주소의 로컬 파트 매핑 오류로 인해 Jenkins 계정이 없는 사람이나 프로젝트와 무관한 사람에게 이메일이 잘못 발송될 수 있습니다.
💡 쉬운 설명
이메일을 자동으로 보내는 기능에 오류가 있어, 엉뚱한 사람에게 프로젝트 정보가 담긴 이메일이 전달될 수 있는 문제입니다. 이로 인해 내부 정보가 외부로 유출될 위험이 있습니다.
🇺🇸 원문 (English)
jenkins-mailer-plugin before version 1.20 is vulnerable to an information disclosure while using the feature to send emails to a dynamically created list of users based on the changelogs. This could in some cases result in emails being sent to people who have no user account in Jenkins, and in rare cases even people who were not involved in whatever project was being built, due to some mapping based on the local-part of email addresses.
📍 영향받는 시스템
Jenkins Mailer Plugin version < 1.20
⚔️ 공격 벡터
변경 로그를 기반으로 한 동적 이메일 수신자 목록 생성 과정에서의 매핑 오류 이용
🛡️ 대응 방법
Jenkins Mailer Plugin을 1.20 이상의 최신 버전으로 업데이트하십시오.
🔧 검증 코드
출력된 버전 정보가 1.20 미만인지 확인하십시오.
jenkins-plugin-cli list | grep jenkins-mailer-plugin