🇰🇷 한글 설명
Jenkins Cucumber Living Documentation 플러그인 1.0.12 및 이전 버전의 CukedoctorBaseAction#doDynamic 메서드에서 교차 사이트 스크립팅(XSS) 취약점이 발견되었습니다. 이 취약점은 아카이브된 아티팩트 및 워크스페이스 파일에 대한 콘텐츠 보안 정책(CSP) 보호를 비활성화하여, 공격자가 해당 파일의 내용을 제어할 수 있을 경우 Jenkins 사용자를 공격할 수 있게 합니다.
💡 쉬운 설명
플러그인의 보안 설정 오류로 인해 특정 파일에 악성 코드를 심을 수 있는 취약점입니다. 이를 통해 공격자가 Jenkins를 사용하는 관리자나 사용자의 정보를 훔칠 수 있습니다.
🇺🇸 원문 (English)
A cross site scripting vulnerability exists in Jenkins Cucumber Living Documentation Plugin 1.0.12 and older in CukedoctorBaseAction#doDynamic that disables the Content-Security-Policy protection for archived artifacts and workspace files, allowing attackers able to control the content of these files to attack Jenkins users.
📍 영향받는 시스템
Jenkins Cucumber Living Documentation Plugin 1.0.12 및 그 이전 버전
⚔️ 공격 벡터
공격자가 제어 가능한 아티팩트 또는 워크스페이스 파일에 악성 스크립트를 삽입하여 사용자의 브라우저에서 실행되도록 유도
🛡️ 대응 방법
해당 플러그인을 최신 버전으로 업데이트하거나, 보안 정책(CSP)이 비활성화되지 않도록 설정을 점검하십시오.
🔧 검증 코드
출력된 결과에서 플러그인 버전이 1.0.12 이하인지 확인하십시오.
jenkins-plugin-cli list | grep cucumber-living-documentation