Vincent Lardet

**Nome do Software Vulnerável e Versões Afetadas:** Plugin Jenkins Sensedia Api Platform Tools versão 1.0 **Descrição:** O plugin Jenkins Sensedia Api Platform Tools armazena o token de integração do Sensedia API Manager não criptografado em seu arquivo de configuração global no controlador Jenkins. Isso permite que usuários com acesso ao sistema de arquivos do controlador Jenkins visualizem o token. **Recomendações:** Garanta que o sistema de arquivos do controlador Jenkins esteja adequadamente protegido para prevenir acesso não autorizado.

**Nome do Software Vulnerável e Versões Afetadas:** Jenkins ReadyAPI Functional Testing Plugin versões 1.11 e anteriores **Descrição:** O Jenkins ReadyAPI Functional Testing Plugin não mascara adequadamente informações sensíveis, como Chaves de Acesso de Licença SLM, segredos do cliente e senhas no formulário de configuração do job. Isso aumenta o risco de observação e captura não autorizadas dessas credenciais. **Recomendações:** Atualize para o Jenkins ReadyAPI Functional Testing Plugin versão 1.12 ou posterior.

**Nome do Software Vulnerável e Versões Afetadas:** Plugin Jenkins Dead Man's Snitch versão 0.1 **Descrição:** O plugin Jenkins Dead Man's Snitch versão 0.1 armazena tokens do Dead Man's Snitch não criptografados em arquivos `job config.xml` no controlador Jenkins. Isso permite que usuários com permissão Item/Extended Read ou acesso ao sistema de arquivos do controlador Jenkins visualizem os tokens. **Recomendações:** Atualize para uma versão mais recente do plugin Jenkins Dead Man's Snitch que corrija este problema. No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

**Nome do Software Vulnerável e Versões Afetadas:** Versões do Plugin Jenkins VAddy anteriores à 1.2.9 **Descrição:** O Plugin Jenkins VAddy armazena Chaves de Autenticação da API VAddy não criptografadas em arquivos config.xml de tarefas no controlador Jenkins. Essas chaves são acessíveis a usuários com permissão Item/Extended Read ou àqueles com acesso ao sistema de arquivos do controlador Jenkins. **Recomendações:** Atualize para a versão 1.2.9 ou posterior do Plugin Jenkins VAddy.

### Nome do Software Vulnerável e Versões Afetadas: Plugin Jenkins VAddy versões 1.2.8 e anteriores ### Descrição: O Plugin Jenkins VAddy não mascara as Chaves de Autenticação da API Vaddy exibidas no formulário de configuração do job, permitindo potencialmente que atacantes as observem e capturem. ### Recomendações: Atualize para uma versão mais recente do Plugin Jenkins VAddy para corrigir este problema.

**Nome do Software Vulnerável e Versões Afetadas:** Plugin Jenkins ReadyAPI Functional Testing versões 1.11 e anteriores **Descrição:** O Plugin Jenkins ReadyAPI Functional Testing armazena informações sensíveis, incluindo Chaves de Acesso de Licença SLM, segredos de cliente e senhas, em formato não criptografado dentro dos arquivos job config.xml no controlador Jenkins. Isso permite que usuários com permissão Item/Extended Read ou acesso ao sistema de arquivos visualizem essas credenciais. **Recomendações:** Versões anteriores à 1.11: Garanta que o acesso ao sistema de arquivos do controlador Jenkins seja restrito apenas a pessoal autorizado. Limite as permissões Item/Extended Read apenas aos usuários que necessitam de acesso às configurações de job.

Nome do Software Vulnerável e Versões Afetadas: Plugin Jenkins Cadence vManager versões 4.0.1-286.v9e25a 740b a 48 e anteriores Descrição: Uma vulnerabilidade de falsificação de solicitação entre sites (CSRF) permite que invasores se conectem a uma URL especificada pelo invasor utilizando um `username` e `password` especificados pelo invasor. Isso pode ser explorado por invasores para realizar ações não autorizadas. Recomendações: Para as versões do Plugin Jenkins Cadence vManager 4.0.1-286.v9e25a 740b a 48 e anteriores, considere desativar o plugin até que uma correção esteja disponível para prevenir a exploração. Restrinja o acesso a URLs sensíveis e credenciais para minimizar o risco de conexões não autorizadas.

**Name of the Vulnerable Software and Affected Versions** Jenkins Cadence vManager Plugin versions 4.0.1-286.v9e25a 740b a 48 and earlier **Description** The issue is related to missing permission checks in the Jenkins Cadence vManager Plugin, which allows attackers with Overall/Read permission to connect to an attacker-specified URL using an attacker-specified username and password. **Recommendations** For Jenkins Cadence vManager Plugin versions 4.0.1-286.v9e25a 740b a 48 and earlier, consider disabling the plugin until a patch is available to prevent attackers from connecting to attacker-specified URLs using attacker-specified credentials. Restrict access to the plugin to minimize the risk of exploitation. Avoid using the plugin with Overall/Read permission until the issue is resolved. At the moment, there is no information about a newer version that contains a fix for this vulnerability.

**Nome do Software Vulnerável e Versões Afetadas** Versões 0.1.1 e anteriores do Plugin Jenkins AsakusaSatellite **Descrição** O problema diz respeito ao armazenamento de chaves de API do AsakusaSatellite de forma não criptografada em arquivos config.xml de jobs no controlador Jenkins. Isso permite que usuários com a permissão Item/Extended Read ou com acesso ao sistema de arquivos do controlador Jenkins visualizem essas chaves. **Recomendações** Para as versões 0.1.1 e anteriores do Plugin Jenkins AsakusaSatellite, considere restringir o acesso ao sistema de arquivos do controlador Jenkins e limitar as permissões Item/Extended Read para minimizar a exposição das chaves de API do AsakusaSatellite não criptografadas até que uma correção esteja disponível.

**Nome do Software Vulnerável e Versões Afetadas** Plugin Jenkins Cadence vManager versões 4.0.0-282.v5096a c2db 275 e anteriores **Descrição** O problema diz respeito ao armazenamento de chaves vAPI do Verisium Manager em forma não criptografada dentro de arquivos config.xml dos jobs no controlador Jenkins. Essas chaves podem ser acessadas por usuários que possuem a permissão Extended Read ou acesso direto ao sistema de arquivos do controlador Jenkins. **Recomendações** Para as versões 4.0.0-282.v5096a c2db 275 e anteriores, considere restringir o acesso ao sistema de arquivos do controlador Jenkins e limitar as permissões Extended Read para minimizar a exposição das chaves vAPI não criptografadas até que uma correção esteja disponível.