CVE-2025-64148
ŚrednieCVSS 4.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 17 - wyżej niż 17% wszystkich znanych CVE
Streszczenie
Brak sprawdzenia uprawnień w Jenkins Publish to Bitbucket Plugin w wersji 0.4 i wcześniejszych pozwala atakującym z uprawnieniami Overall/Read na wyliczenie identyfikatorów poświadczeń przechowywanych w Jenkinsie.
Ocena ryzyka
Ryzyko polega na ujawnieniu identyfikatorów poświadczeń, co może ułatwić atakującym dalsze ataki, takie jak kradzież poświadczeń lub nieautoryzowany dostęp do systemów. Może to prowadzić do naruszenia poufności i integralności.
Rekomendacja
Zaleca się aktualizację Jenkins Publish to Bitbucket Plugin do wersji, która zawiera poprawkę. Należy również ograniczyć uprawnienia użytkowników, aby tylko zaufane osoby miały dostęp do odczytu.
Inne podatności w Jenkins Publish to Bitbucket Plugin
Zobacz wszystkie- CVE-2025-64150Średnie
Wtyczka Jenkins Publish to Bitbucket w wersji 0.4 i wcześniejszych nie sprawdza odpowiednich uprawnień. Osoba atakująca z uprawnieniem Overall/Read może połączyć się z wybranym przez siebie adresem URL, używając identyfikatorów poświadczeń uzyskanych inną metodą, co pozwala na przechwycenie poświadczeń przechowywanych w Jenkinsie.
- CVE-2025-64149Średnie
Wtyczka Jenkins Publish to Bitbucket Plugin w wersji 0.4 i wcześniejszych zawiera podatność na atak typu Cross-Site Request Forgery (CSRF). Umożliwia ona atakującym połączenie się z adresem URL wskazanym przez atakującego, używając identyfikatorów poświadczeń wskazanych przez atakującego, które zostały uzyskane inną metodą, co pozwala na przechwycenie poświadczeń przechowywanych w Jenkinsie.
Oryginalny opis (angielski, źródło NVD)
A missing permission check in Jenkins Publish to Bitbucket Plugin 0.4 and earlier allows attackers with Overall/Read permission to enumerate credentials IDs of credentials stored in Jenkins.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS