🇰🇷 한글 설명
Jenkins S3 플러그인 0.10.12 및 이전 버전에서 발생하는 교차 사이트 스크립팅(XSS) 취약점입니다. 공격자가 업로드된 파일의 이름을 제어할 수 있는 경우, 자바스크립트가 포함된 파일 이름을 생성하여 다른 사용자가 UI 작업을 수행할 때 해당 스크립트가 브라우저에서 실행되도록 유도할 수 있습니다.
💡 쉬운 설명
파일 이름을 특수한 코드로 만들어 올리면, 다른 사용자가 그 파일을 볼 때 악성 코드가 몰래 실행될 수 있는 문제입니다. 이를 통해 사용자의 정보를 훔치거나 원치 않는 동작을 수행하게 만들 수 있습니다.
🇺🇸 원문 (English)
A cross-site scripting vulnerability exists in Jenkins S3 Plugin 0.10.12 and older in src/main/resources/hudson/plugins/s3/S3ArtifactsProjectAction/jobMain.jelly that allows attackers able to control file names of uploaded files to define file names containing JavaScript that would be executed in another user's browser when that user performs some UI actions.
📍 영향받는 시스템
Jenkins S3 Plugin 0.10.12 및 그 이전 버전
⚔️ 공격 벡터
업로드된 파일의 이름을 조작하여 악성 자바스크립트 코드를 삽입하는 방식
🛡️ 대응 방법
Jenkins S3 플러그인을 최신 버전으로 업데이트하십시오.
🔧 검증 코드
출력된 결과에서 s3-artifact-plugin의 버전이 0.10.12 이하인지 확인하십시오.
jenkins-plugin-cli list | grep s3-artifact-plugin