PT-2022-25748 · Jenkins · Jenkins Build-Publisher Plugin+1

Wadeck Follonier · Publicado 2022-09-21 · Atualizado 2025-05-28 · CVE-2022-41232

Positive Technologies (AI Summary) · Pt

CVSS v3.1

8.0

Alta

Vetor base

AV:N/AC:L/PR:L/UI:R/S:U/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas

Plugin Jenkins Build-Publisher, versões 1.22 e anteriores

Descrição

Uma vulnerabilidade de falsificação de solicitação entre sites (CSRF) permite que invasores substituam qualquer arquivo config.xml no sistema de arquivos do controlador Jenkins por um arquivo vazio, fornecendo um nome de arquivo malicioso a um ponto de extremidade da API.

Recomendações

Para as versões 1.22 e anteriores do Jenkins Build-Publisher Plugin, como solução temporária, considere restringir o acesso ao endpoint da API até que uma correção esteja disponível.

No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

CSRF

Enumeração de Fraquezas

CWE-352

Identificadores relacionados

CVE-2022-41232

GHSA-PHR4-94XX-259M

Produtos afetados

Jenkins

Jenkins Build-Publisher Plugin

Referências · 7

• https://github.com/jenkins-infra/update-center2/pull/644 · Nota
• https://osv.dev/vulnerability/GHSA-phr4-94xx-259m · Aviso do Fabricante
• https://jenkins.io/security/advisory/2022-09-21/#SECURITY-2139 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2022-41232 · Nota de Segurança
• https://t.me/cvenotify/60320 · Publicação no Telegram
• https://t.me/cvenotify/123865 · Publicação no Telegram
• https://osv.dev/vulnerability/CVE-2022-41232 · Aviso do Fabricante