Jenkins Pipeline Aggregator View Plugin vulnerable to Cross-site Scripting

中 5.4CVE-2023-28670 · GHSA-v27q-87jf-j9cr · 02/04/2023 公開 · 17/06/2026 更新

要点

CVE-2023-28670 は com.paul8620.jenkins.plugins:pipeline-aggregator-view, pipeline aggregator view (jenkins) に影響する深刻度「中」 (CVSS 5.4) の脆弱性です。
今後30日間に悪用される確率（EPSS）：0.46%（全脆弱性の 39.6% より高い）。
対処：1.14 以降に更新してください。

パッケージ	影響を受けるバージョン	修正済みバージョン
com.paul8620.jenkins.plugins:pipeline-aggregator-view Maven	`< 1.14`	`1.14`
pipeline aggregator view jenkins	`≤ 1.13`	修正版なし

概要

Jenkins Pipeline Aggregator View Plugin 1.13 and earlier does not escape a variable representing the current view's URL in inline JavaScript, resulting in a stored cross-site scripting (XSS) vulnerability exploitable by authenticated attackers with Overall/Read permission. Version 1.14 obtains the current URL in a way not susceptible to XSS.

NVD の説明