CVE-2023-28677
Kritik
Açıklama
Jenkins Convert To Pipeline Plugin 1.0 ve önceki sürümleri; Freestyle projelerinin Build Environment, Build Steps ve Post-build Actions bölümlerini eşdeğer Pipeline adım çağrılarına dönüştürmek için temel dize birleştirme kullanır. Bu durum, Freestyle projelerini yapılandırabilen saldırganların, Jenkins Convert To Pipeline Plugin tarafından gerçekleştirilen bir dönüştürme sonucunda ortaya çıkan (sandboxed olmayan) Pipeline içerisine Pipeline betik kodu enjekte eden özel olarak hazırlanmış bir yapılandırma oluşturmalarına olanak tanır.
ÖnemKritik
CVSS9.8
İstismar olasılığı—
Ürün
Jenkins Convert To Pipeline
Yayın2 Nis 2023
İlk görülme2 Nis 2023
Zayıflık türüCWE-77Komut enjeksiyonu
Nasıl düzeltilir
Üretici duyuruları
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| jenkins convert_to_pipeline | v ≤ 1.0 | — |
| org.jenkins-ci.plugins:convert-to-pipelineMaven | v ≤ 1.0 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Intelligence 360 paketinde
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.