CVE-2026-70437
NiskieCVSS 3.7Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 4 - wyżej niż 4% wszystkich znanych CVE
Streszczenie
Jenkins Webhook Secret Credentials Provider Plugin 16.v0cfa_f0215cf5 i wcześniejsze nie używa funkcji porównania w stałym czasie podczas sprawdzania, czy podany i oczekiwany token bearer webhooka są równe, co potencjalnie pozwala atakującym na użycie metod statystycznych do uzyskania prawidłowego tokena bearer webhooka.
Ocena ryzyka
Atakujący może uzyskać ważny token webhooka, co może prowadzić do nieautoryzowanego dostępu do funkcji webhooka i potencjalnie do naruszenia bezpieczeństwa.
Rekomendacja
Zaktualizuj wtyczkę do wersji z poprawką, jeśli dostępna, oraz rozważ użycie bezpieczniejszych metod porównywania tokenów.
Oryginalny opis (angielski, źródło NVD)
Jenkins Webhook Secret Credentials Provider Plugin 16.v0cfa_f0215cf5 and earlier does not use a constant-time comparison function when checking whether the provided and expected webhook bearer token are equal, potentially allowing attackers to use statistical methods to obtain a valid webhook bearer token.