Jenkins Spring Config Plugin <=2.0.0 存在存储型 XSS 漏洞-低调大师

Jenkins Spring Config Plugin <=2.0.0 存在存储型 XSS 漏洞

2022-12-13 369 89

漏洞描述

Jenkins 是一个用 Java 开发的开源自动化服务器，Spring Config Plugin 是 Jenkins 的一款用于读取 Spring Boot 风格的应用程序属性文件的插件。

Jenkins Spring Config Plugin 2.0.0及之前版本中由于不会转义显示在 Spring Config 视图上的构建显示名称从而存在 XSS 漏洞，攻击者可利用此漏洞将恶意 JavaScript 代码注入 Spring Config 视图构建显示名称中，当浏览器加载 Spring Config 的构建显示名称时执行攻击者可控的恶意 JavaScript 代码。

漏洞名称	Jenkins Spring Config Plugin <=2.0.0 存在存储型 XSS 漏洞
漏洞类型	XSS
发现时间	2022-12-12
漏洞影响广度	一般
MPS编号	MPS-2022-66989
CVE编号	CVE-2022-46687
CNVD编号	-

影响范围

io.jenkins.plugins:spring-config@(-∞, 2.0.1)

修复方案

将组件 io.jenkins.plugins:spring-config 升级至 2.0.1 及以上版本

参考链接

https://www.oscs1024.com/hd/MPS-2022-66989

https://nvd.nist.gov/vuln/detail/CVE-2022-46687

https://www.jenkins.io/security/advisory/2022-12-07/#SECURITY-2814

情报订阅

OSCS(开源软件供应链安全社区)通过最快、最全的方式，发布开源项目最新的安全风险动态，包括开源组件安全漏洞、事件等信息。同时提供漏洞、投毒情报的免费订阅服务，社区用户可通过配置飞书、钉钉、企业微信机器人，及时获得一手情报信息推送：

https://www.oscs1024.com/cm/?src=osc

具体订阅方式详见：

https://www.oscs1024.com/docs/vuln-warning/intro/?src=osc

微信关注我们

原文链接：https://www.oschina.net/news/221318

转载内容版权归作者及来源网站所有！

低调大师中文资讯倾力打造互联网数据资讯、行业资源、电子商务、移动互联网、网络营销平台。持续更新报道IT业界、互联网、市场资讯、驱动更新,是最及时权威的产业资讯及硬件资讯报道平台。

2022-12-13 09:00:00

用 Java？试试国产轻量的 Solon v1.11.4（带视频）

一个更现代感的 Java 应用开发框架：更快、更小、更自由。没有 Spring，没有 Servlet，没有 JavaEE；独立的轻量生态。主框架仅 0.1 MB。 @Controller public class App { public static void main(String[] args) { Solon.start(App.class, args); } @Get @Socket @Mapping("/hello") public String hello(@Param(defaultValue = "java") String name) { return String.format("Hello %s!", name); } } 入门探索视频（用户录制）：相对于 Spring Boot 和 Spring Cloud 的项目：启动快 5 ～ 10 倍。（更快） qps 高 2～ 3 倍。（更高）运行时内存节省 1/3 ~ 1/2。（更少）打包可以缩小到 1/2 ~ 1/10；比如，300Mb 的变成了 23Mb。（更小） ...

214

2022-12-13 07:27:00

每日一博 | Redis 的数据被删除，占用内存咋还那么大？

通过 CONFIG SET maxmemory 100mb 或者在 redis.conf 配置文件设置 maxmemory 100mb Redis 内存占用限制。当达到内存最大值值，会触发内存淘汰策略删除数据。除此之外，当 key 达到过期时间，Redis 会有以下两种删除过期数据的策略：后台定时任务选取部分数据删除；惰性删除。具体原理请移步《Redis 的过期数据删除那些事》。假设 Redis 实例保存了 5GB 的数据，现在删除了 2GB 数据，Redis 进程占用的内存一定会降低么？（也叫做 RSS，进程消耗内存页数）。答案是：可能依然占用了大约 5GB 的内存，即使 Redis 的数据只占用了 3GB 左右。大家一定要设置maxmemory，否则 Redis 会继续为新写入的数据分配内存，无法分配就会导致应用程序报错，当然不会导致宕机。释放的内存去哪了明明删除了数据，使用 top 命令查看，为何还是占用了那么多内存？内存都去哪了？使用 info memory 命令获取 Redis 内存相关指标，我列举了几个重要的数据： 127.0.0.1:6379> ...

327

资源下载

更多资源

优质分享Android(本站安卓app)

近一个月的开发和优化，本站点的第一个app全新上线。该app采用极致压缩，本体才4.36MB。系统里面做了大量数据访问、缓存优化。方便用户在手机上查看文章。后续会推出HarmonyOS的适配版本。

Mario，低调大师唯一一个Java游戏作品

马里奥是站在游戏界顶峰的超人气多面角色。马里奥靠吃蘑菇成长，特征是大鼻子、头戴帽子、身穿背带裤，还留着胡子。与他的双胞胎兄弟路易基一起，长年担任任天堂的招牌角色。

Java Development Kit(Java开发工具)

JDK是 Java 语言的软件开发工具包，主要用于移动设备、嵌入式设备上的java应用程序。JDK是整个java开发的核心，它包含了JAVA的运行环境（JVM+Java系统类库）和JAVA工具。

Sublime Text 一个代码编辑器

Sublime Text具有漂亮的用户界面和强大的功能，例如代码缩略图，Python的插件，代码段等。还可自定义键绑定，菜单和工具栏。Sublime Text 的主要功能包括：拼写检查，书签，完整的 Python API ， Goto 功能，即时项目切换，多选择，多窗口等等。Sublime Text 是一个跨平台的编辑器，同时支持Windows、Linux、Mac OS X等操作系统。