CVE-2023-37965

WysokieCVSS 7.1

Opublikowano: 12/07/2023(UTC)Zaktualizowano: 17/06/2026(UTC)Przetłumaczono: 18/06/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.63%

Percentyl 45 - wyżej niż 45% wszystkich znanych CVE

Streszczenie

Brak weryfikacji uprawnień w wtyczce Jenkins ElasticBox CI w wersji 5.0.1 i wcześniejszych umożliwia atakującym z uprawnieniami Overall/Read połączenie z URL określonym przez atakującego, używając identyfikatorów poświadczeń uzyskanych inną metodą, co pozwala na przechwycenie poświadczeń przechowywanych w Jenkins.

Ocena ryzyka

Atakujący mogą uzyskać dostęp do wrażliwych poświadczeń, co może prowadzić do dalszych ataków na systemy organizacji oraz naruszenia bezpieczeństwa danych.

Rekomendacja

Zaleca się aktualizację wtyczki Jenkins ElasticBox CI do najnowszej wersji oraz przegląd uprawnień użytkowników, aby ograniczyć dostęp do krytycznych funkcji.

Inne podatności w Jenkins ElasticBox CI Plugin

CVE-2023-37964Wysokie
Wtyczka Jenkins ElasticBox CI w wersji 5.0.1 i wcześniejszych zawiera podatność typu cross-site request forgery (CSRF), która umożliwia atakującym połączenie z określonym przez nich adresem URL przy użyciu identyfikatorów poświadczeń uzyskanych w inny sposób, co pozwala na przechwycenie poświadczeń przechowywanych w Jenkins.

Oryginalny opis (angielski, źródło NVD)

A missing permission check in Jenkins ElasticBox CI Plugin 5.0.1 and earlier allows attackers with Overall/Read permission to connect to an attacker-specified URL using attacker-specified credentials IDs obtained through another method, capturing credentials stored in Jenkins.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS