Stored XSS vulnerability in Jenkins ECharts API Plugin

2022-05-2417:19:04

Google

osv.dev

0.001 Low

EPSS

Percentile

22.0%

JSON

ECharts API Plugin 4.7.0-3 and earlier does not escape the display name of the builds in the trend chart.

This results in a stored cross-site scripting (XSS) vulnerability that can be exploited by users with Run/Update permission.

ECharts API Plugin 4.7.0-4 escapes the display name.

CPENameOperatorVersion
io.jenkins.plugins:echarts-apieq4.7.0-3
io.jenkins.plugins:echarts-apieq4.6.0-10
io.jenkins.plugins:echarts-apieq4.4.0-1-beta1
io.jenkins.plugins:echarts-apieq4.6.0-4-beta1
io.jenkins.plugins:echarts-apieq4.6.0-5-beta1
io.jenkins.plugins:echarts-apieq4.6.0-7
io.jenkins.plugins:echarts-apieq4.4.0-2-beta1
io.jenkins.plugins:echarts-apieq4.4.0-8-beta1
io.jenkins.plugins:echarts-apieq4.7.0-1
io.jenkins.plugins:echarts-apieq4.6.0-9

Name	Operator	Version
io.jenkins.plugins:echarts-api	eq	4.7.0-3
io.jenkins.plugins:echarts-api	eq	4.6.0-10
io.jenkins.plugins:echarts-api	eq	4.4.0-1-beta1
io.jenkins.plugins:echarts-api	eq	4.6.0-4-beta1
io.jenkins.plugins:echarts-api	eq	4.6.0-5-beta1
io.jenkins.plugins:echarts-api	eq	4.6.0-7
io.jenkins.plugins:echarts-api	eq	4.4.0-2-beta1
io.jenkins.plugins:echarts-api	eq	4.4.0-8-beta1
io.jenkins.plugins:echarts-api	eq	4.7.0-1
io.jenkins.plugins:echarts-api	eq	4.6.0-9