🔍 CVE-2026-48927

5.5
CVSS Score
MEDIUM
2026-05-27
2026-10-14 20:10
✅ 완료

🇰🇷 한글 설명

Jenkins buildgraph-view 플러그인 1.8 이전 버전에서 빌드 URL을 적절히 이스케이프하지 않아 저장된 XSS(Stored Cross-Site Scripting) 취약점이 존재합니다. Job 또는 View 설정 권한을 가진 공격자가 악의적인 JavaScript 코드를 빌드 URL에 삽입하여 다른 사용자가 해당 페이지를 방문할 때 자동으로 실행되도록 할 수 있습니다.

💡 쉬운 설명

Jenkins 빌드 정보를 표시하는 플러그인에서 URL에 악의적인 코드를 숨겨서 저장할 수 있는 보안 문제입니다. 관리자가 이 코드가 담긴 페이지를 보면 자동으로 실행되어 계정이 해킹될 수 있습니다.

🇺🇸 원문 (English)

Jenkins buildgraph-view Plugin 1.8 and earlier does not escape the build URL, resulting in a stored cross-site scripting (XSS) vulnerability exploitable by attackers able to configure jobs or views.

📍 영향받는 시스템

Jenkins buildgraph-view Plugin 1.8 이하

⚔️ 공격 벡터

Job/View 설정 권한을 가진 공격자가 빌드 URL 필드에 <script> 태그를 포함시켜 저장된 XSS 페이로드 실행

🛡️ 대응 방법

buildgraph-view 플러그인을 1.9 이상으로 업그레이드하여 URL 이스케이프 처리 적용

🔧 검증 코드

명령어 실행 결과 버전 번호가 1.9 이상이면 안전, 1.8 이하이거나 플러그인을 찾을 수 없으면 미설치 상태입니다.

Shell / Script 
grep -i 'Plugin-Version' /var/lib/jenkins/plugins/buildgraph-view/META-INF/MANIFEST.MF 2>/dev/null | awk '{print $2}' || find /var/lib/jenkins/plugins -type d -name 'buildgraph-view*' 2>/dev/null | sed 's/.*buildgraph-view-//' | head -1

📊 CVSS Vector String

CVSS Vector 
CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:U/C:L/I:L/A:L

💻 영향받는 소프트웨어

Jenkins