🇰🇷 한글 설명
Jenkins의 useMango Runner 플러그인 1.4 및 이전 버전에서 발생하는 취약점입니다. useMango 서비스로부터 전달받은 값을 적절히 이스케이프 처리하지 않아, 해당 서비스의 값을 제어할 수 있는 사용자가 교차 사이트 스크립팅(XSS) 공격을 수행할 수 있습니다.
💡 쉬운 설명
플러그인이 외부에서 가져온 데이터를 검증 없이 그대로 화면에 보여주어 발생하는 문제입니다. 공격자가 악성 코드를 심어 사용자의 브라우저에서 실행되게 만들 수 있습니다.
🇺🇸 원문 (English)
Multiple form validation endpoints in Jenkins useMango Runner Plugin 1.4 and earlier do not escape values received from the useMango service, resulting in a cross-site scripting (XSS) vulnerability exploitable by users able to control the values returned from the useMango service.
📍 영향받는 시스템
Jenkins useMango Runner Plugin 1.4 및 그 이전 버전
⚔️ 공격 벡터
useMango 서비스의 응답 값을 조작하여 악성 스크립트를 삽입하는 방식
🛡️ 대응 방법
useMango Runner 플러그인을 최신 버전으로 업데이트하십시오.
🔧 검증 코드
출력된 결과에서 useMango-Runner의 버전이 1.4 이하인지 확인하십시오.
jenkins-plugin-manager --list | grep useMango-Runner