🇰🇷 한글 설명
Jenkins Queue cleanup Plugin 1.3 및 이전 버전의 폼 검증 엔드포인트에서 쿼리 매개변수를 적절히 이스케이프하지 않아 발생하는 반사형 XSS 취약점입니다. 오류 메시지에 포함된 매개변수가 그대로 출력되어 악성 스크립트가 실행될 수 있습니다.
💡 쉬운 설명
웹사이트의 입력창에 특수 코드를 넣었을 때, 시스템이 이를 걸러내지 못하고 그대로 실행해버리는 보안 약점입니다. 공격자가 이 점을 이용해 사용자의 브라우저에서 몰래 나쁜 동작을 수행하게 만들 수 있습니다.
🇺🇸 원문 (English)
A form validation endpoint in Jenkins Queue cleanup Plugin 1.3 and earlier does not properly escape a query parameter displayed in an error message, resulting in a reflected XSS vulnerability.
📍 영향받는 시스템
Jenkins Queue cleanup Plugin 1.3 및 그 이전 버전
⚔️ 공격 벡터
조작된 쿼리 매개변수가 포함된 URL을 사용자에게 클릭하도록 유도하여 브라우저에서 스크립트 실행
🛡️ 대응 방법
Jenkins Queue cleanup Plugin을 최신 버전으로 업데이트하여 입력값 검증 및 이스케이프 처리 강화
🔧 검증 코드
출력된 버전 번호가 1.3보다 낮거나 1.3인 경우 해당 취약점에 노출된 상태입니다.
jenkins-plugin-manager --list | grep 'queue-cleanup' | grep -E 'version:[0-9]+\.[0-9]+\.[0-9]+' | awk '{print $2}' | awk -F: '{print $2}'