CVE-2023-35149
ŚrednieCVSS 6.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 47 - wyżej niż 47% wszystkich znanych CVE
Streszczenie
Brak weryfikacji uprawnień w wtyczce Jenkins Digital.ai App Management Publisher w wersji 2.6 i wcześniejszych umożliwia atakującym z uprawnieniami Overall/Read połączenie z określonym przez atakującego adresem URL, co pozwala na przechwycenie poświadczeń przechowywanych w Jenkins.
Ocena ryzyka
Organizacja może być narażona na kradzież poświadczeń, co może prowadzić do nieautoryzowanego dostępu do systemów i danych.
Rekomendacja
Zaleca się aktualizację wtyczki do najnowszej wersji, aby usunąć lukę w weryfikacji uprawnień.
Oryginalny opis (angielski, źródło NVD)
A missing permission check in Jenkins Digital.ai App Management Publisher Plugin 2.6 and earlier allows attackers with Overall/Read permission to connect to an attacker-specified URL, capturing credentials stored in Jenkins.