CVE-2026-48923
ŚrednieCVSS 4.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 19 - wyżej niż 19% wszystkich znanych CVE
Streszczenie
Wtyczka Jenkins AppSpider w wersji 1.0.17 i wcześniejszych nie wykonuje sprawdzenia uprawnień w metodzie implementującej walidację formularza. Atakujący z uprawnieniem Overall/Read może połączyć się z adresem URL wskazanym przez atakującego.
Ocena ryzyka
Atakujący z niskimi uprawnieniami może wymusić na serwerze Jenkins połączenie z dowolnym adresem URL, co umożliwia ataki typu SSRF i skanowanie sieci wewnętrznej.
Rekomendacja
Zaktualizuj wtyczkę Jenkins AppSpider do wersji nowszej niż 1.0.17 lub ją wyłącz, jeśli nie jest używana.
Inne podatności w Jenkins AppSpider Plugin
Zobacz wszystkie- CVE-2023-32999Średnie
Brak weryfikacji uprawnień w wtyczce AppSpider dla Jenkins w wersji 1.0.15 i wcześniejszych umożliwia atakującym z uprawnieniami Overall/Read połączenie z określonym przez atakującego adresem URL oraz wysłanie żądania HTTP POST z ładunkiem JSON zawierającym dane uwierzytelniające określone przez atakującego.
- CVE-2023-32998Wysokie
Wtyczka AppSpider w Jenkinsie w wersji 1.0.15 i wcześniejszych zawiera podatność typu CSRF, która umożliwia atakującym łączenie się z określonym przez nich adresem URL oraz wysyłanie żądania HTTP POST z ładunkiem JSON zawierającym dane uwierzytelniające wskazane przez atakującego.
Oryginalny opis (angielski, źródło NVD)
Jenkins AppSpider Plugin 1.0.17 and earlier does not perform a permission check in a method implementing form validation, allowing attackers with Overall/Read permission to connect to an attacker-specified URL.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS