Stored XSS vulnerability in Pipeline Maven Integration Plugin via unescaped display name

中 5.4CVE-2020-2256 · GHSA-hq2h-9mc3-h6w2 · 16/09/2020 公開 · 17/06/2026 更新

要点

CVE-2020-2256 は org.jenkins-ci.plugins:pipeline-maven, pipeline maven integration (jenkins) に影響する深刻度「中」 (CVSS 5.4) の脆弱性です。
今後30日間に悪用される確率（EPSS）：0.73%（全脆弱性の 54.5% より高い）。
対処：3.9.3 以降に更新してください。

パッケージ	影響を受けるバージョン	修正済みバージョン
org.jenkins-ci.plugins:pipeline-maven Maven	`< 3.9.3`	`3.9.3`
pipeline maven integration jenkins	`≤ 3.9.2`	修正版なし

概要

Pipeline Maven Integration Plugin 3.9.2 and earlier does not escape the upstream job’s display name shown as part of a build cause.

This results in a stored cross-site scripting (XSS) vulnerability exploitable by attackers with Job/Configure permission.

Pipeline Maven Integration Plugin 3.9.3 escapes upstream job names in build causes.

NVD の説明

Jenkins Pipeline Maven Integration Plugin 3.9.2 and earlier does not escape the upstream job's display name shown as part of a build cause, resulting in a stored cross-site scripting (XSS) vulnerability exploitable by attackers with Job/Configure permission.