🇰🇷 한글 설명
Jenkins Badge Plugin 1.4 및 이전 버전의 BadgeSummaryAction.java와 HtmlBadgeAction.java에서 지속성 XSS 취약점이 발견되었습니다. 빌드 배지 콘텐츠를 제어할 수 있는 공격자는 다른 사용자가 UI 작업을 수행할 때 브라우저에서 실행될 JavaScript를 삽입할 수 있습니다.
💡 쉬운 설명
해커가 빌드 결과물에 악성 코드를 숨겨두면, 관리자가 이를 확인하는 순간 관리자의 브라우저에서 코드가 실행됩니다. 이를 통해 관리자의 권한을 탈취하거나 정보를 훔칠 수 있습니다.
🇺🇸 원문 (English)
A persisted cross-site scripting vulnerability exists in Jenkins Badge Plugin 1.4 and earlier in BadgeSummaryAction.java, HtmlBadgeAction.java that allows attackers able to control build badge content to define JavaScript that would be executed in another user's browser when that other user performs some UI actions.
📍 영향받는 시스템
Jenkins Badge Plugin 1.4 및 그 이전 버전
⚔️ 공격 벡터
빌드 배지 콘텐츠에 악성 JavaScript를 삽입하여 저장한 후, 사용자가 해당 배지를 조회하도록 유도
🛡️ 대응 방법
Jenkins Badge Plugin을 최신 버전으로 업데이트하십시오.
🔧 검증 코드
출력된 결과에서 badge-plugin의 버전이 1.4 이하인지 확인하십시오.
jenkins-plugin-manager --list | grep badge-plugin