🇰🇷 한글 설명
Jenkins Groovy Postbuild 플러그인 2.3.1 및 이전 버전의 여러 Jelly 파일에서 지속성 XSS 취약점이 발견되었습니다. 공격자가 빌드 배지(build badge) 내용을 제어할 수 있다면, 다른 사용자가 UI 작업을 수행할 때 해당 사용자의 브라우저에서 악성 자바스크립트가 실행되도록 유도할 수 있습니다.
💡 쉬운 설명
해커가 빌드 결과물에 몰래 악성 코드를 심어두는 방식입니다. 관리자가 빌드 상태를 확인하려고 클릭하는 순간, 관리자의 브라우저에서 해커가 원하는 명령이 실행될 수 있습니다.
🇺🇸 원문 (English)
A persisted cross-site scripting vulnerability exists in Jenkins Groovy Postbuild Plugin 2.3.1 and older in various Jelly files that allows attackers able to control build badge content to define JavaScript that would be executed in another user's browser when that other user performs some UI actions.
📍 영향받는 시스템
Jenkins Groovy Postbuild Plugin 2.3.1 및 그 이전 버전
⚔️ 공격 벡터
빌드 배지(build badge) 콘텐츠를 조작하여 악성 자바스크립트 삽입
🛡️ 대응 방법
Groovy Postbuild 플러그인을 최신 버전으로 업데이트하십시오.
🔧 검증 코드
출력된 결과에서 groovy-postbuild 플러그인의 버전이 2.3.1 이하인지 확인하십시오.
jenkins-plugin-cli list | grep groovy-postbuild