CVE-2023-37964

WysokieCVSS 8.8

Opublikowano: 12/07/2023(UTC)Zaktualizowano: 17/06/2026(UTC)Przetłumaczono: 18/06/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.51%

Percentyl 39 - wyżej niż 39% wszystkich znanych CVE

Streszczenie

Wtyczka Jenkins ElasticBox CI w wersji 5.0.1 i wcześniejszych zawiera podatność typu cross-site request forgery (CSRF), która umożliwia atakującym połączenie z określonym przez nich adresem URL przy użyciu identyfikatorów poświadczeń uzyskanych w inny sposób, co pozwala na przechwycenie poświadczeń przechowywanych w Jenkins.

Ocena ryzyka

Podatność ta może prowadzić do ujawnienia wrażliwych poświadczeń, co stwarza poważne zagrożenie dla bezpieczeństwa systemu i danych organizacji.

Rekomendacja

Zaleca się aktualizację wtyczki do najnowszej wersji oraz wdrożenie dodatkowych środków zabezpieczających, aby zminimalizować ryzyko ataków CSRF.

Inne podatności w Jenkins ElasticBox CI Plugin

CVE-2023-37965Wysokie
Brak weryfikacji uprawnień w wtyczce Jenkins ElasticBox CI w wersji 5.0.1 i wcześniejszych umożliwia atakującym z uprawnieniami Overall/Read połączenie z URL określonym przez atakującego, używając identyfikatorów poświadczeń uzyskanych inną metodą, co pozwala na przechwycenie poświadczeń przechowywanych w Jenkins.

Oryginalny opis (angielski, źródło NVD)

A cross-site request forgery (CSRF) vulnerability in Jenkins ElasticBox CI Plugin 5.0.1 and earlier allows attackers to connect to an attacker-specified URL using attacker-specified credentials IDs obtained through another method, capturing credentials stored in Jenkins.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS