CVE-2025-64150
ŚrednieCVSS 5.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 14 - wyżej niż 14% wszystkich znanych CVE
Streszczenie
Wtyczka Jenkins Publish to Bitbucket w wersji 0.4 i wcześniejszych nie sprawdza odpowiednich uprawnień. Osoba atakująca z uprawnieniem Overall/Read może połączyć się z wybranym przez siebie adresem URL, używając identyfikatorów poświadczeń uzyskanych inną metodą, co pozwala na przechwycenie poświadczeń przechowywanych w Jenkinsie.
Ocena ryzyka
Ryzyko polega na możliwości kradzieży poświadczeń przechowywanych w Jenkinsie, co może prowadzić do nieautoryzowanego dostępu do innych systemów i danych.
Rekomendacja
Zaleca się natychmiastową aktualizację wtyczki Publish to Bitbucket do najnowszej wersji, która zawiera poprawkę braku sprawdzania uprawnień.
Inne podatności w Jenkins Publish to Bitbucket Plugin
Zobacz wszystkie- CVE-2025-64149Średnie
Wtyczka Jenkins Publish to Bitbucket Plugin w wersji 0.4 i wcześniejszych zawiera podatność na atak typu Cross-Site Request Forgery (CSRF). Umożliwia ona atakującym połączenie się z adresem URL wskazanym przez atakującego, używając identyfikatorów poświadczeń wskazanych przez atakującego, które zostały uzyskane inną metodą, co pozwala na przechwycenie poświadczeń przechowywanych w Jenkinsie.
- CVE-2025-64148Średnie
Brak sprawdzenia uprawnień w Jenkins Publish to Bitbucket Plugin w wersji 0.4 i wcześniejszych pozwala atakującym z uprawnieniami Overall/Read na wyliczenie identyfikatorów poświadczeń przechowywanych w Jenkinsie.
Oryginalny opis (angielski, źródło NVD)
A missing permission check in Jenkins Publish to Bitbucket Plugin 0.4 and earlier allows attackers with Overall/Read permission to connect to an attacker-specified URL using attacker-specified credentials IDs obtained through another method, capturing credentials stored in Jenkins.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS