CVE-2025-64146

ŚrednieCVSS 4.3

Opublikowano: 29/10/2025(UTC)Zaktualizowano: 08/10/2026(UTC)Przetłumaczono: 08/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.17%

Percentyl 6 - wyżej niż 6% wszystkich znanych CVE

Streszczenie

Wtyczka Jenkins Curseforge Publisher Plugin 1.0 przechowuje klucze API w postaci niezaszyfrowanej w plikach config.xml zadań na kontrolerze Jenkinsa. Mogą je zobaczyć użytkownicy z uprawnieniami Item/Extended Read lub dostępem do systemu plików kontrolera.

Ocena ryzyka

Ujawnienie kluczy API może umożliwić atakującemu nieautoryzowany dostęp do zewnętrznych usług, co może prowadzić do naruszenia bezpieczeństwa danych.

Rekomendacja

Należy zaktualizować wtyczkę do wersji, która szyfruje klucze API, oraz ograniczyć dostęp do plików config.xml.

Inne podatności w Jenkins Curseforge Publisher Plugin

CVE-2025-64147Średnie
Wtyczka Jenkins Curseforge Publisher Plugin w wersji 1.0 nie maskuje kluczy API wyświetlanych w formularzu konfiguracji zadania. Zwiększa to ryzyko ich obserwacji i przechwycenia przez atakujących.

Oryginalny opis (angielski, źródło NVD)

Jenkins Curseforge Publisher Plugin 1.0 stores API Keys unencrypted in job config.xml files on the Jenkins controller where they can be viewed by users with Item/Extended Read permission, or access to the Jenkins controller file system.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS