🇰🇷 한글 설명
Jenkins Timestamper 플러그인 1.11.1 및 이전 버전에서 HTML 형식이 적절히 필터링되지 않아 발생하는 저장형 XSS 취약점입니다. Overall/Administer 권한을 가진 공격자가 이를 악용할 수 있습니다.
💡 쉬운 설명
관리자 권한을 가진 사용자가 악성 코드가 포함된 HTML을 저장하면, 다른 사용자가 해당 페이지를 볼 때 코드가 실행될 수 있는 보안 약점입니다. 웹사이트의 입력값 검증이 제대로 이루어지지 않아 발생합니다.
🇺🇸 원문 (English)
Jenkins Timestamper Plugin 1.11.1 and earlier does not sanitize HTML formatting of its output, resulting in a stored XSS vulnerability exploitable by attackers with Overall/Administer permission.
📍 영향받는 시스템
Jenkins Timestamper Plugin 1.11.1 및 그 이전 버전
⚔️ 공격 벡터
권한을 가진 사용자가 악성 HTML 스크립트가 포함된 데이터를 저장하여 다른 사용자의 브라우저에서 실행되도록 유도
🛡️ 대응 방법
Timestamper 플러그인을 최신 버전으로 업데이트하여 HTML 필터링 기능을 강화하십시오.
🔧 검증 코드
출력된 JSON 결과에서 'version' 항목의 값이 1.11.1 이하인지 확인하십시오.
curl -s http://<JENKINS_URL>/plugin/timestamper/api/getJson() | grep -E 'version' || echo 'Plugin not found'