PT-2020-15493 · Jenkins · Jenkins Mongodb Plugin+1
CVSS v3.1
8.8
Alta
| Vetor | AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H |
Nome do software vulnerável e versões afetadas
Plugin Jenkins MongoDB versões 1.3 e anteriores
Descrição
Uma vulnerabilidade de falsificação de solicitação entre sites (CSRF) permite que invasores obtenham acesso a alguns metadados de quaisquer arquivos arbitrários no controlador Jenkins. Esse problema ocorre porque o plugin não realiza verificações de permissão nos métodos que implementam a validação de formulários, permitindo que invasores com permissão Geral/Leitura explorem essa vulnerabilidade. Além disso, os métodos de validação de formulários não exigem solicitações POST, o que contribui para a vulnerabilidade CSRF.
Recomendações
Para as versões 1.3 e anteriores do plugin Jenkins MongoDB, como solução temporária, considere restringir o acesso aos métodos de validação de formulários para minimizar o risco de exploração. Além disso, restrinja a permissão Geral/Leitura apenas a usuários confiáveis. No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.
CSRF
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Jenkins
Jenkins Mongodb Plugin