🇰🇷 한글 설명
Jenkins Config File Provider Plugin 3.4.1 및 이전 버전에서 교차 사이트 스크립팅(XSS) 취약점이 발견되었습니다. 공유 설정 파일을 정의할 수 있는 권한을 가진 공격자가 사용자가 해당 파일을 삭제하려고 할 때 임의의 자바스크립트를 실행할 수 있습니다.
💡 쉬운 설명
설정 파일을 만들 수 있는 권한을 가진 사람이 악성 코드를 숨겨둘 수 있습니다. 관리자가 이 파일을 삭제하려고 클릭하는 순간, 관리자의 브라우저에서 해킹 코드가 실행될 수 있습니다.
🇺🇸 원문 (English)
An cross-site scripting vulnerability exists in Jenkins Config File Provider Plugin 3.4.1 and earlier in src/main/resources/lib/configfiles/configfiles.jelly that allows attackers with permission to define shared configuration files to execute arbitrary JavaScript when a user attempts to delete the shared configuration file.
📍 영향받는 시스템
Jenkins Config File Provider Plugin 3.4.1 및 그 이전 모든 버전
⚔️ 공격 벡터
공유 설정 파일 내에 악성 스크립트를 삽입한 후, 관리자가 해당 파일을 삭제하도록 유도하는 방식
🛡️ 대응 방법
Jenkins Config File Provider Plugin을 최신 버전으로 업데이트하십시오.
🔧 검증 코드
출력된 결과에서 config-file-provider 플러그인의 버전이 3.4.1 이하인지 확인하십시오.
jenkins-plugin-manager --list | grep 'config-file-provider'