CVE-2023-4302
ŚrednieCVSS 4.2Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 18 - wyżej niż 18% wszystkich znanych CVE
Streszczenie
Brak weryfikacji uprawnień w wtyczce Fortify dla Jenkins w wersji 22.1.38 i wcześniejszych umożliwia atakującym z uprawnieniami Overall/Read połączenie z URL wskazanym przez atakującego, używając identyfikatorów poświadczeń uzyskanych inną metodą.
Ocena ryzyka
Atakujący mogą uzyskać dostęp do przechowywanych w Jenkins poświadczeń, co może prowadzić do dalszych ataków na infrastrukturę organizacji.
Rekomendacja
Zaleca się aktualizację wtyczki Fortify do najnowszej wersji, aby usunąć lukę w weryfikacji uprawnień.
Inne podatności w Jenkins Fortify Plugin
Zobacz wszystkie- CVE-2023-4303Średnie
Wtyczka Fortify dla Jenkins w wersji 22.1.38 i wcześniejszych nie ucieka komunikatu o błędzie w metodzie walidacji formularza, co prowadzi do podatności na wstrzyknięcie HTML.
- CVE-2023-4301Średnie
Wtyczka Fortify w Jenkinsie w wersji 22.1.38 i wcześniejszych zawiera podatność typu cross-site request forgery (CSRF), która pozwala atakującym na połączenie się z określonym przez nich adresem URL przy użyciu identyfikatorów poświadczeń uzyskanych inną metodą.
Oryginalny opis (angielski, źródło NVD)
A missing permission check in Jenkins Fortify Plugin 22.1.38 and earlier allows attackers with Overall/Read permission to connect to an attacker-specified URL using attacker-specified credentials IDs obtained through another method, capturing credentials stored in Jenkins.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS