XSS vulnerability in Jenkins Claim Plugin

中 5.4CVE-2021-21619 · GHSA-48hr-jg4p-w4p4 · 24/02/2021 公開 · 17/06/2026 更新

要点

CVE-2021-21619 は org.jenkins-ci.plugins:claim, claim (jenkins) に影響する深刻度「中」 (CVSS 5.4) の脆弱性です。
今後30日間に悪用される確率（EPSS）：9.4%（全脆弱性の 95.4% より高い）。
対処：2.18.2 以降に更新してください。

パッケージ	影響を受けるバージョン	修正済みバージョン
org.jenkins-ci.plugins:claim Maven	`< 2.18.2`	`2.18.2`
claim jenkins	`≤ 2.18.1`	修正版なし

概要

Jenkins Claim Plugin 2.18.1 and earlier does not escape the user display name shown in claims.

This results in a stored cross-site scripting (XSS) vulnerability exploitable by attackers who are able to control the display names of Jenkins users, either via the security realm, or directly inside Jenkins.

Everyone with a Jenkins account can change their own display name.\n\nClaim Plugin 2.18.2 escapes the user display name shown in claims.

NVD の説明

Jenkins Claim Plugin 2.18.1 and earlier does not escape the user display name, resulting in a stored cross-site scripting (XSS) vulnerability exploitable by attackers who are able to control the display names of Jenkins users, either via the security realm, or directly inside Jenkins.