Path Traversal vulnerability in Jenkins Embeddable Build Status Plugin

高 7.5CVE-2022-34179 · GHSA-93mx-2vf9-28c4 · 23/06/2022 公開 · 17/06/2026 更新

要点

CVE-2022-34179 は org.jenkins-ci.plugins:embeddable-build-status, embeddable build status (jenkins) に影響する深刻度「高」 (CVSS 7.5) の脆弱性です。
今後30日間に悪用される確率（EPSS）：1.8%（全脆弱性の 78.3% より高い）。
対処：2.0.4 以降に更新してください。

パッケージ	影響を受けるバージョン	修正済みバージョン
org.jenkins-ci.plugins:embeddable-build-status Maven	`< 2.0.4`	`2.0.4`
embeddable build status jenkins	`≤ 2.0.3`	修正版なし

概要

Jenkins Embeddable Build Status Plugin 2.0.3 and earlier allows specifying a style query parameter that is used to choose a different SVG image style without restricting possible values, resulting in a relative path traversal vulnerability that allows attackers without Overall/Read permission to specify paths to other SVG images on the Jenkins controller file system.

Embeddable Build Status Plugin 2.0.4 restricts the style query parameter to one of the three legal values.

NVD の説明

Jenkins Embeddable Build Status Plugin 2.0.3 and earlier allows specifying a `style` query parameter that is used to choose a different SVG image style without restricting possible values, resulting in a relative path traversal vulnerability that allows attackers without Overall/Read permission to specify paths to other SVG images on the Jenkins controller file system.