CVE-2025-64149
ŚrednieCVSS 5.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 10 - wyżej niż 10% wszystkich znanych CVE
Streszczenie
Wtyczka Jenkins Publish to Bitbucket Plugin w wersji 0.4 i wcześniejszych zawiera podatność na atak typu Cross-Site Request Forgery (CSRF). Umożliwia ona atakującym połączenie się z adresem URL wskazanym przez atakującego, używając identyfikatorów poświadczeń wskazanych przez atakującego, które zostały uzyskane inną metodą, co pozwala na przechwycenie poświadczeń przechowywanych w Jenkinsie.
Ocena ryzyka
Atakujący może wykorzystać CSRF do przechwycenia poświadczeń przechowywanych w Jenkinsie, co może prowadzić do nieautoryzowanego dostępu do systemów i danych.
Rekomendacja
Zaktualizuj wtyczkę Jenkins Publish to Bitbucket Plugin do najnowszej wersji, która zawiera poprawkę tej luki.
Inne podatności w Jenkins Publish to Bitbucket Plugin
Zobacz wszystkie- CVE-2025-64150Średnie
Wtyczka Jenkins Publish to Bitbucket w wersji 0.4 i wcześniejszych nie sprawdza odpowiednich uprawnień. Osoba atakująca z uprawnieniem Overall/Read może połączyć się z wybranym przez siebie adresem URL, używając identyfikatorów poświadczeń uzyskanych inną metodą, co pozwala na przechwycenie poświadczeń przechowywanych w Jenkinsie.
- CVE-2025-64148Średnie
Brak sprawdzenia uprawnień w Jenkins Publish to Bitbucket Plugin w wersji 0.4 i wcześniejszych pozwala atakującym z uprawnieniami Overall/Read na wyliczenie identyfikatorów poświadczeń przechowywanych w Jenkinsie.
Oryginalny opis (angielski, źródło NVD)
A cross-site request forgery (CSRF) vulnerability in Jenkins Publish to Bitbucket Plugin 0.4 and earlier allows attackers to connect to an attacker-specified URL using attacker-specified credentials IDs obtained through another method, capturing credentials stored in Jenkins.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS