Stored XSS vulnerability in multiple axis builds tooltips in Jenkins Matrix Project Plugin

中 5.4CVE-2020-2225 · GHSA-w43x-5f8f-686p · 15/07/2020 公開 · 17/06/2026 更新

要点

CVE-2020-2225 は org.jenkins-ci.plugins:matrix-project, matrix project (jenkins) に影響する深刻度「中」 (CVSS 5.4) の脆弱性です。
今後30日間に悪用される確率（EPSS）：1.0%（全脆弱性の 64.0% より高い）。
対処：1.17 以降に更新してください。

パッケージ	影響を受けるバージョン	修正済みバージョン
org.jenkins-ci.plugins:matrix-project Maven	`< 1.17`	`1.17`
matrix project jenkins	`≤ 1.16`	修正版なし

概要

Matrix Project Plugin 1.16 and earlier does not escape the axis names shown in tooltips on the overview page of builds with multiple axes. This results in a stored cross-site scripting (XSS) vulnerability exploitable by users with Job/Configure permission.

Matrix Project Plugin 1.17 escapes the axis names shown in these tooltips.

NVD の説明

Jenkins Matrix Project Plugin 1.16 and earlier does not escape the axis names shown in tooltips on the overview page of builds with multiple axes, resulting in a stored cross-site scripting vulnerability.