CVE-2023-37963
ŚrednieCVSS 5.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 34 - wyżej niż 34% wszystkich znanych CVE
Streszczenie
Brak weryfikacji uprawnień w wtyczce Jenkins Benchmark Evaluator w wersji 1.0.1 i wcześniejszych umożliwia atakującym z uprawnieniami Overall/Read łączenie się z określonym przez atakującego adresem URL oraz sprawdzanie istnienia katalogów oraz plików `.csv` i `.ycsb` w systemie plików kontrolera Jenkins.
Ocena ryzyka
Atakujący mogą uzyskać dostęp do wrażliwych informacji o strukturze plików na serwerze Jenkins, co może prowadzić do dalszych ataków lub wycieku danych.
Rekomendacja
Zaleca się aktualizację wtyczki Jenkins Benchmark Evaluator do najnowszej wersji, aby usunąć lukę w weryfikacji uprawnień.
Oryginalny opis (angielski, źródło NVD)
A missing permission check in Jenkins Benchmark Evaluator Plugin 1.0.1 and earlier allows attackers with Overall/Read permission to connect to an attacker-specified URL and to check for the existence of directories, `.csv`, and `.ycsb` files on the Jenkins controller file system.