CVE-2021-21619

Description

Jenkins Claim Plugin 2.18.1 and earlier does not escape the user display name, resulting in a stored cross-site scripting (XSS) vulnerability exploitable by attackers who are able to control the display names of Jenkins users, either via the security realm, or directly inside Jenkins.

Gravité et risque d'exploitation

CVE-2021-21619 obtient un score CVSS de 0.0/10, soit une gravité non évaluée. Selon le modèle EPSS, la probabilité qu'elle soit exploitée dans les 30 prochains jours est de 9.39 %, ce qui la place devant 95.4 % des CVE référencées.

Que faire ?

• Vérifiez si Jenkins Claim Plugin (versions <=2.18.1) est présent sur votre parc.
• Appliquez le correctif ou la version corrigée indiqués dans les références de l'éditeur.
• À défaut de correctif, limitez l'exposition (filtrage réseau, désactivation du composant).
• Automatisez la détection : les agents CVE Heimdall (gratuits, open source) corrèlent l'inventaire de vos serveurs avec la base CVE.

Références

• https://www.jenkins.io/security/advisory/2021-02-24/#SECURITY-2188%20%281%29
• http://www.openwall.com/lists/oss-security/2021/02/24/3