CVE-2023-32996
ŚrednieCVSS 4.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 34 - wyżej niż 34% wszystkich znanych CVE
Streszczenie
Brak weryfikacji uprawnień w wtyczce Jenkins SAML Single Sign On (SSO) w wersji 2.0.0 i wcześniejszych umożliwia atakującym z uprawnieniami Overall/Read wysyłanie żądań HTTP POST z treścią JSON określoną przez atakującego do API miniOrange w celu wysyłania e-maili.
Ocena ryzyka
Atakujący mogą wykorzystać tę podatność do wysyłania nieautoryzowanych wiadomości e-mail, co może prowadzić do nadużyć i utraty zaufania do systemu.
Rekomendacja
Zaleca się aktualizację wtyczki do najnowszej wersji, aby usunąć brakującą weryfikację uprawnień oraz ograniczyć dostęp do API miniOrange.
Oryginalny opis (angielski, źródło NVD)
A missing permission check in Jenkins SAML Single Sign On(SSO) Plugin 2.0.0 and earlier allows attackers with Overall/Read permission to send an HTTP POST request with JSON body containing attacker-specified content, to miniOrange's API for sending emails.