Stored XSS vulnerability in Jenkins Active Choices Plugin

中 5.4CVE-2020-2289 · GHSA-9jv5-wf44-8vfm · 08/10/2020 公開 · 17/06/2026 更新

要点

CVE-2020-2289 は org.biouno:uno-choice, active choices (jenkins) に影響する深刻度「中」 (CVSS 5.4) の脆弱性です。
今後30日間に悪用される確率（EPSS）：0.91%（全脆弱性の 60.0% より高い）。
対処：2.5 以降に更新してください。

パッケージ	影響を受けるバージョン	修正済みバージョン
org.biouno:uno-choice Maven	`< 2.5`	`2.5`
active choices jenkins	`≤ 2.4`	修正版なし

概要

Jenkins Active Choices Plugin 2.4 and earlier does not escape the name and description of build parameters.

This results in a stored cross-site scripting (XSS) vulnerability exploitable by attackers with Job/Configure permission.

Active Choices Plugin 2.5 escapes the name of build parameters and applies the configured markup formatter to the description of build parameters.

NVD の説明

Jenkins Active Choices Plugin 2.4 and earlier does not escape the name and description of build parameters, resulting in a stored cross-site scripting (XSS) vulnerability exploitable by attackers with Job/Configure permission.