Podatności Jenkins Publish to Bitbucket Plugin

Wtyczka Jenkins Publish to Bitbucket w wersji 0.4 i wcześniejszych nie sprawdza odpowiednich uprawnień. Osoba atakująca z uprawnieniem Overall/Read może połączyć się z wybranym przez siebie adresem URL, używając identyfikatorów poświadczeń uzyskanych inną metodą, co pozwala na przechwycenie poświadczeń przechowywanych w Jenkinsie.

Wtyczka Jenkins Publish to Bitbucket Plugin w wersji 0.4 i wcześniejszych zawiera podatność na atak typu Cross-Site Request Forgery (CSRF). Umożliwia ona atakującym połączenie się z adresem URL wskazanym przez atakującego, używając identyfikatorów poświadczeń wskazanych przez atakującego, które zostały uzyskane inną metodą, co pozwala na przechwycenie poświadczeń przechowywanych w Jenkinsie.

Brak sprawdzenia uprawnień w Jenkins Publish to Bitbucket Plugin w wersji 0.4 i wcześniejszych pozwala atakującym z uprawnieniami Overall/Read na wyliczenie identyfikatorów poświadczeń przechowywanych w Jenkinsie.