Stored XSS vulnerability in single axis builds tooltips in Jenkins Matrix Project Plugin

中 5.4CVE-2020-2224 · GHSA-h6qc-455m-7v6v · 15/07/2020 公開 · 17/06/2026 更新

要点

CVE-2020-2224 は org.jenkins-ci.plugins:matrix-project, matrix project (jenkins) に影響する深刻度「中」 (CVSS 5.4) の脆弱性です。
今後30日間に悪用される確率（EPSS）：0.92%（全脆弱性の 60.2% より高い）。
対処：1.17 以降に更新してください。

パッケージ	影響を受けるバージョン	修正済みバージョン
org.jenkins-ci.plugins:matrix-project Maven	`< 1.17`	`1.17`
matrix project jenkins	`≤ 1.16`	修正版なし

概要

Matrix Project Plugin 1.16 and earlier does not escape node names shown in tooltips on the overview page of builds with a single axis. This results in a stored cross-site scripting (XSS) vulnerability exploitable by users with Agent/Configure permission.

Matrix Project Plugin 1.17 escapes the node names shown in these tooltips.

NVD の説明

Jenkins Matrix Project Plugin 1.16 and earlier does not escape the node names shown in tooltips on the overview page of builds with a single axis, resulting in a stored cross-site scripting vulnerability.