Stored XSS vulnerability in Jenkins Active Choices Plugin

中 5.4CVE-2021-21699 · GHSA-rp4x-h577-chvq · 12/11/2021 公開 · 17/06/2026 更新

要点

CVE-2021-21699 は org.biouno:uno-choice, active choices (jenkins) に影響する深刻度「中」 (CVSS 5.4) の脆弱性です。
今後30日間に悪用される確率（EPSS）：88.5%（全脆弱性の 99.8% より高い）。
対処：2.5.7 以降に更新してください。

パッケージ	影響を受けるバージョン	修正済みバージョン
org.biouno:uno-choice Maven	`< 2.5.7`	`2.5.7`
active choices jenkins	`≤ 2.5.6`	修正版なし

概要

Jenkins Active Choices Plugin 2.5.6 and earlier does not escape the parameter name of reactive parameters and dynamic reference parameters.

This results in a stored cross-site scripting (XSS) vulnerability exploitable by attackers with Job/Configure permission.

Jenkins Active Choices Plugin 2.5.7 escapes references to parameter names.

NVD の説明

Jenkins Active Choices Plugin 2.5.6 and earlier does not escape the parameter name of reactive parameters and dynamic reference parameters, resulting in a stored cross-site scripting (XSS) vulnerability exploitable by attackers with Job/Configure permission.