CVE-2025-64142

ŚrednieCVSS 4.3

Opublikowano: 29/10/2025(UTC)Zaktualizowano: 08/10/2026(UTC)Przetłumaczono: 08/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.25%

Percentyl 15 - wyżej niż 15% wszystkich znanych CVE

Streszczenie

Wtyczka Jenkins Nexus Task Runner Plugin w wersji 0.9.2 i wcześniejszych nie sprawdza uprawnień, co pozwala atakującemu z uprawnieniem Overall/Read na połączenie się z adresem URL wskazanym przez atakującego przy użyciu podanych przez niego poświadczeń.

Ocena ryzyka

Atakujący z niskimi uprawnieniami może wykorzystać serwer Jenkins do łączenia się z dowolnymi zasobami sieciowymi, co może prowadzić do wycieku danych lub ruchu bocznego w sieci wewnętrznej.

Rekomendacja

Zaktualizuj wtyczkę Jenkins Nexus Task Runner Plugin do wersji nowszej niż 0.9.2. Ogranicz uprawnienie Overall/Read do zaufanych użytkowników.

Inne podatności w Jenkins Nexus Task Runner Plugin

CVE-2025-64141Średnie
Wtyczka Jenkins Nexus Task Runner Plugin w wersji 0.9.2 i wcześniejszych zawiera podatność na atak typu Cross-Site Request Forgery (CSRF). Umożliwia ona atakującym połączenie się z adresem URL wskazanym przez atakującego, używając poświadczeń wskazanych przez atakującego.

Oryginalny opis (angielski, źródło NVD)

A missing permission check in Jenkins Nexus Task Runner Plugin 0.9.2 and earlier allows attackers with Overall/Read permission to connect to an attacker-specified URL using attacker-specified credentials.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS