🇰🇷 한글 설명
jenkins-email-ext 2.57.1 미만 버전에서 정보 노출 취약점이 발견되었습니다. 이 플러그인은 변경 로그를 기반으로 사용자 목록을 동적으로 생성하여 이메일을 발송하는데, 이 과정에서 Jenkins 계정이 없는 사용자나 프로젝트와 무관한 사람에게 이메일이 발송될 수 있습니다.
💡 쉬운 설명
이메일 알림을 보내는 과정에서 실수로 엉뚱한 사람에게 이메일이 전달될 수 있는 문제입니다. 이로 인해 내부 정보가 의도치 않은 외부인에게 노출될 위험이 있습니다.
🇺🇸 원문 (English)
jenkins-email-ext before version 2.57.1 is vulnerable to an Information Exposure. The Email Extension Plugins is able to send emails to a dynamically created list of users based on the changelogs, like authors of SCM changes since the last successful build. This could in some cases result in emails being sent to people who have no user account in Jenkins, and in rare cases even people who were not involved in whatever project was being built, due to some mapping based on the local-part of email addresses.
📍 영향받는 시스템
jenkins-email-ext plugin version < 2.57.1
⚔️ 공격 벡터
변경 로그(Changelog)에 포함된 이메일 주소 매핑을 통한 간접적인 정보 노출
🛡️ 대응 방법
jenkins-email-ext 플러그인을 2.57.1 버전 이상으로 업데이트하십시오.
🔧 검증 코드
출력된 버전 번호가 2.57.1보다 낮은지 확인하십시오.
jenkins-plugin-cli list | grep jenkins-email-ext