XML External Entity processing vulnerability in Pipeline Maven Integration Jenkins Plugin
An XML external entities (XXE) vulnerability in Jenkins Pipeline Maven Integration Plugin 1.7.0 and earlier allowed attackers able to control a temporary directory's content on the agent running the Maven build to have Jenkins parse a maliciously crafted XML file that uses external entities for extraction of secrets from the Jenkins master, server-side request forgery, or denial-of-service attacks.
Czego dotyczy
Kliknij technologię, aby zobaczyć wszystkie dotyczące jej podatności.
| Platforma | Paczka | Podatne wersje | Poprawka w wersji |
|---|---|---|---|
| Java / Kotlin (Maven) | org.jenkins-ci.plugins:pipeline-maven | < 3.7.1 | 3.7.1 |
Odnośniki
- https://nvd.nist.gov/vuln/detail/CVE-2019-10327
- https://github.com/jenkinsci/pipeline-maven-plugin/commit/e7cb858852c05d2423e3fd9922a090982dcd6392
- https://github.com/jenkinsci/pipeline-maven-plugin/tree/master/pipeline-maven
- https://jenkins.io/security/advisory/2019-05-31/#SECURITY-1409
- http://www.openwall.com/lists/oss-security/2019/05/31/2
- http://www.securityfocus.com/bid/108540
- Wektor CVSS
CVSS:3.0/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:H- Słabość (CWE)
CWE-611- Platforma
- Java / Kotlin (Maven)
- Paczka
org.jenkins-ci.plugins:pipeline-maven- Ujawniono
- 24.05.2022
- Aktualizacja
- 11.10.2026 11:22
Źródła i licencje
OSV / GitHub Advisory Database - GHSA-6755-jgp4-8q7h - CC BY 4.0
Historia podatności: org.jenkins-ci.plugins:pipeline-maven
Wszystkie opisane podatności tej paczki (Java / Kotlin (Maven)), od najnowszej. Widać, czy to jednorazowa wpadka, czy paczka, której trzeba pilnować.
- Wszystkich wpisów
- 6
- Pierwsza → ostatnia
- 05.2022 09.2023
- Bez poprawki
- 0
- Wykorzystywana w atakach
- 0
Rozkład istotności
- Wysoka 4
- Średnia 2
Ujawnienia w latach
- 2022: 5
- 2023: 1
- 2024: 0
- 2025: 0
- 2026: 0
-
XML External Entity processing vulnerability in Pipeline Maven Integration Jenkins Plugin ten wpis
Dowiedz się, które podatności dotyczą Twojej aplikacji
Po podłączeniu integracji DockRay i włączeniu raportowania oprogramowania DockRay porównuje zgłoszone wersje komponentów ze znanymi podatnościami i powiadamia o potwierdzonych dopasowaniach. Zakres zależy od obsługiwanej technologii i dostępnych biuletynów.