CVE-2017-1000389
Açıklama
Jenkins global-build-stats eklentisinin 1.4 ve önceki sürümleri tarafından sağlanan bazı URL'ler, istek parametrelerini içeren bir JSON yanıtı döndürüyordu. Bu yanıtlar Content Type: text/html değerine sahipti, bu nedenle istemciler tarafından HTML olarak yorumlanabilirdi ve bu durum potansiyel bir yansıtılmış siteler arası betik çalıştırma (XSS) zafiyetine yol açabiliyordu. Ek olarak, global-build-stats eklentisi tarafından sağlanan ve verileri değiştiren bazı URL'lerin POST istekleri gönderilmesini gerektirmemesi, potansiyel bir siteler arası istek sahteciliği (CSRF) zafiyetine neden oluyordu.
Nasıl düzeltilir
- org.jenkins-ci.plugins:global-build-stats1.5 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| jenkins global-build-stats | v ≤ 1.4 | — |
| org.jenkins-ci.plugins:global-build-statsMaven | v < 1.5 | 1.5 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.