Cross-site Scripting vulnerability in Jenkins

TRUNG BÌNH 5.4CVE-2022-34173 · BIT-jenkins-2022-34173 · GHSA-6g4r-q7qg-6qx6 · Công bố 23/06/2022 · cập nhật 17/06/2026

Tóm tắt nhanh

CVE-2022-34173 là lỗ hổng mức TRUNG BÌNH (CVSS 5.4) ảnh hưởng org.jenkins-ci.main:jenkins-core, jenkins (jenkins).
Xác suất bị khai thác trong 30 ngày tới (EPSS): 1.5%, cao hơn 73.8% các lỗ hổng khác.
Cách xử lý: cập nhật lên 2.356 hoặc mới hơn.

Gói / sản phẩm	Phiên bản bị ảnh hưởng	Phiên bản đã vá
org.jenkins-ci.main:jenkins-core Maven	`≥ 2.340, < 2.356`	`2.356`
jenkins jenkins	`≥ 2.340, ≤ 2.355`	Chưa có bản vá

Mô tả

Since Jenkins 2.340, the tooltip of the build button in list views supports HTML without escaping the job display name.

This vulnerability is known to be exploitable by attackers with Job/Configure permission.

Jenkins 2.356 addresses this vulnerability. The tooltip of the build button in list views is now escaped.

No Jenkins LTS release is affected by SECURITY-2776 or SECURITY-2780, as these were not present in Jenkins 2.332.x and fixed in the 2.346.x line before 2.346.1.

Mô tả của NVD

In Jenkins 2.340 through 2.355 (both inclusive) the tooltip of the build button in list views supports HTML without escaping the job display name, resulting in a cross-site scripting (XSS) vulnerability exploitable by attackers with Job/Configure permission.

Tham khảo

nvd.nist.gov/vuln/detail/CVE-2022-34173 · ADVISORY
jenkinsci/jenkins · PACKAGE
jenkins.io/security/advisory/2022-06-22 · WEB

Lỗ hổng khác của org.jenkins-ci.main:jenkins-core

Xem tất cả →

Bạn đang dùng một trong các sản phẩm này? Quét site để biết có đang lộ phiên bản có lỗ hổng không.

Quét site miễn phí

Gói / sản phẩm

Phiên bản bị ảnh hưởng

Phiên bản đã vá

org.jenkins-ci.main:jenkins-core

Maven

≥ 2.340, < 2.356

2.356

jenkins

≥ 2.340, ≤ 2.355

Chưa có bản vá