PT-2022-22331 · Xebialabs+1 · Jenkins Xebialabs Xl Release Plugin+1
CVSS v3.1
5.4
Média
| Vetor | AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:L/A:N |
Nome do software vulnerável e versões afetadas
Plugin Jenkins XebiaLabs XL Release, versões 22.0.0 e anteriores
Descrição
Uma vulnerabilidade de falsificação de solicitação entre sites (CSRF) permite que invasores se conectem a um servidor HTTP especificado por eles, utilizando IDs de credenciais obtidas por outro método, capturando credenciais armazenadas no Jenkins. A vulnerabilidade se deve à falta de verificações de permissão nos métodos que implementam a validação de formulários, o que pode ser explorado por invasores com permissão Geral/Leitura. Além disso, os métodos de validação de formulários não exigem solicitações POST, facilitando ainda mais a vulnerabilidade CSRF.
Recomendações
Para as versões 22.0.0 e anteriores do plugin Jenkins XebiaLabs XL Release, atualize para a versão 22.0.1 ou posterior, que exige solicitações POST e permissão Geral/Administração para os métodos de validação de formulários afetados. Como solução alternativa temporária, considere restringir o acesso aos métodos de validação de formulários para minimizar o risco de exploração.
Correção
CSRF
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Jenkins
Jenkins Xebialabs Xl Release Plugin