🇰🇷 한글 설명
Jenkins Config File Provider Plugin 3.1 및 이전 버전의 configfiles.jelly와 providerlist.jelly 파일에서 교차 사이트 스크립팅(XSS) 취약점이 발견되었습니다. 설정 파일을 구성할 수 있는 권한을 가진 사용자가 Jenkins의 일부 페이지에 임의의 HTML을 삽입할 수 있습니다.
💡 쉬운 설명
설정 파일을 바꿀 수 있는 사람이 웹사이트에 악성 코드를 몰래 심을 수 있는 보안 약점입니다. 이 코드가 실행되면 다른 사용자의 정보를 훔치거나 잘못된 동작을 유도할 수 있습니다.
🇺🇸 원문 (English)
A cross-site scripting vulnerability exists in Jenkins Config File Provider Plugin 3.1 and earlier in configfiles.jelly, providerlist.jelly that allows users with the ability to configure configuration files to insert arbitrary HTML into some pages in Jenkins.
📍 영향받는 시스템
Jenkins Config File Provider Plugin 3.1 및 그 이전 버전
⚔️ 공격 벡터
설정 파일 구성 권한을 이용한 악성 HTML/스크립트 삽입
🛡️ 대응 방법
Jenkins Config File Provider Plugin을 최신 버전으로 업데이트하십시오.
🔧 검증 코드
출력된 결과에서 config-file-provider의 버전이 3.1 이하인지 확인하십시오.
jenkins-plugin-manager --list | grep 'config-file-provider'