CVE-2023-4302
ŚrednieCVSS 4.2Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 18 - wyżej niż 18% wszystkich znanych CVE
Streszczenie
Brak weryfikacji uprawnień w wtyczce Fortify dla Jenkins w wersji 22.1.38 i wcześniejszych umożliwia atakującym z uprawnieniami Overall/Read połączenie z URL wskazanym przez atakującego, używając identyfikatorów poświadczeń uzyskanych inną metodą.
Ocena ryzyka
Atakujący mogą uzyskać dostęp do przechowywanych w Jenkins poświadczeń, co może prowadzić do dalszych ataków na infrastrukturę organizacji.
Rekomendacja
Zaleca się aktualizację wtyczki Fortify do najnowszej wersji, aby usunąć lukę w weryfikacji uprawnień.
Oryginalny opis (angielski, źródło NVD)
A missing permission check in Jenkins Fortify Plugin 22.1.38 and earlier allows attackers with Overall/Read permission to connect to an attacker-specified URL using attacker-specified credentials IDs obtained through another method, capturing credentials stored in Jenkins.