Cross-site Scripting vulnerability in Jenkins

TRUNG BÌNH 5.4CVE-2022-34171 · BIT-jenkins-2022-34171 · GHSA-7f84-p6r5-jr6q · Công bố 23/06/2022 · cập nhật 17/06/2026

Tóm tắt nhanh

CVE-2022-34171 là lỗ hổng mức TRUNG BÌNH (CVSS 5.4) ảnh hưởng org.jenkins-ci.main:jenkins-core, jenkins (jenkins).
Xác suất bị khai thác trong 30 ngày tới (EPSS): 1.6%, cao hơn 75.2% các lỗ hổng khác.
Cách xử lý: cập nhật lên 2.346.1, 2.356, 2.332.4 hoặc mới hơn.

Gói / sản phẩm	Phiên bản bị ảnh hưởng	Phiên bản đã vá
org.jenkins-ci.main:jenkins-core Maven	`≥ 2.346, < 2.346.1≥ 2.350, < 2.356< 2.332.4`	`2.346.12.3562.332.4`
jenkins jenkins	`≥ 2.321, ≤ 2.355≥ 2.332.1, ≤ 2.332.3`	Chưa có bản vá

Mô tả

Since Jenkins 2.321 and LTS 2.332.1, the HTML output generated for new symbol-based SVG icons includes the title attribute of l:ionicon until Jenkins 2.334 and alt attribute of l:icon since Jenkins 2.335 without further escaping.

This vulnerability is known to be exploitable by attackers with Job/Configure permission.

Jenkins 2.356, LTS 2.332.4 and LTS 2.346.1 addresses this vulnerability, the title attribute of l:ionicon (Jenkins LTS 2.332.4) and alt attribute of l:icon (Jenkins 2.356 and LTS 2.346.1) are escaped in the generated HTML output.

Mô tả của NVD

In Jenkins 2.321 through 2.355 (both inclusive) and LTS 2.332.1 through LTS 2.332.3 (both inclusive) the HTML output generated for new symbol-based SVG icons includes the 'title' attribute of 'l:ionicon' (until Jenkins 2.334) and 'alt' attribute of 'l:icon' (since Jenkins 2.335) without further escaping, resulting in a cross-site scripting (XSS) vulnerability.