CVE-2023-39154
ŚrednieCVSS 6.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 38 - wyżej niż 38% wszystkich znanych CVE
Streszczenie
Wtyczka Qualys Web App Scanning Connector w Jenkinsie w wersji 2.0.10 i wcześniejszych ma błędne sprawdzanie uprawnień, co pozwala atakującym z globalnymi uprawnieniami Item/Configure na połączenie z URL określonym przez atakującego, używając identyfikatorów poświadczeń uzyskanych inną metodą.
Ocena ryzyka
Atakujący mogą uzyskać dostęp do poświadczeń przechowywanych w Jenkinsie, co może prowadzić do dalszych ataków na systemy organizacji.
Rekomendacja
Zaleca się aktualizację wtyczki do najnowszej wersji oraz przegląd uprawnień użytkowników, aby ograniczyć dostęp do krytycznych funkcji.
Oryginalny opis (angielski, źródło NVD)
Incorrect permission checks in Jenkins Qualys Web App Scanning Connector Plugin 2.0.10 and earlier allow attackers with global Item/Configure permission to connect to an attacker-specified URL using attacker-specified credentials IDs obtained through another method, capturing credentials stored in Jenkins.