CVE-2023-32999
ŚrednieCVSS 4.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 39 - wyżej niż 39% wszystkich znanych CVE
Streszczenie
Brak weryfikacji uprawnień w wtyczce AppSpider dla Jenkins w wersji 1.0.15 i wcześniejszych umożliwia atakującym z uprawnieniami Overall/Read połączenie z określonym przez atakującego adresem URL oraz wysłanie żądania HTTP POST z ładunkiem JSON zawierającym dane uwierzytelniające określone przez atakującego.
Ocena ryzyka
Atakujący mogą uzyskać dostęp do wrażliwych danych poprzez wysyłanie nieautoryzowanych żądań, co może prowadzić do naruszenia bezpieczeństwa systemu.
Rekomendacja
Zaleca się aktualizację wtyczki AppSpider do najnowszej wersji, aby usunąć lukę w weryfikacji uprawnień oraz ograniczenie dostępu do wtyczki tylko dla zaufanych użytkowników.
Oryginalny opis (angielski, źródło NVD)
A missing permission check in Jenkins AppSpider Plugin 1.0.15 and earlier allows attackers with Overall/Read permission to connect to an attacker-specified URL and send an HTTP POST request with a JSON payload consisting of attacker-specified credentials.