PT-2025-14516 · Jenkins · Jenkins Stack Hammer Plugin+1

Romuald Moisan + 1 · Publicado 2025-04-02 · Atualizado 2025-04-17 · CVE-2025-31726

Positive Technologies (AI Summary) · Pt

CVSS v2.0

6.5

Média

Vetor base

AV:N/AC:L/Au:S/C:P/I:P/A:P

Nome do Software Vulnerável e Versões Afetadas Versões 1.0.6 e anteriores do Plugin Jenkins Stack Hammer

Descrição O problema diz respeito ao armazenamento das chaves de API do Stack Hammer de forma não criptografada dentro dos arquivos config.xml das jobs no controlador Jenkins. Isso permite que usuários com a permissão Extended Read ou acesso ao sistema de arquivos do controlador Jenkins visualizem essas chaves.

Recomendações Para as versões 1.0.6 e anteriores do Plugin Jenkins Stack Hammer, considere restringir o acesso ao sistema de arquivos do controlador Jenkins e limitar as permissões Extended Read para minimizar a exposição das chaves de API do Stack Hammer não criptografadas até que uma correção esteja disponível.

Correção

Improper Access Control

Cleartext Storage of Sensitive Information

Enumeração de Fraquezas

CWE-284

CWE-312

Identificadores relacionados

BDU:2025-03822

CVE-2025-31726

GHSA-2WXQ-944J-5G2V

Produtos afetados

Jenkins

Jenkins Stack Hammer Plugin

Referências · 11

• https://github.com/jenkinsci/stackhammer-plugin · Nota
• https://bdu.fstec.ru/vul/2025-03822 · Nota de Segurança
• https://t.me/cvetracker/20595 · Publicação no Telegram
• https://jenkins.io/security/advisory/2025-04-02/#SECURITY-3520 · Aviso do Fabricante
• https://twitter.com/CVEnew/status/1907551231658308071 · Publicação no Twitter
• https://osv.dev/vulnerability/CVE-2025-31726 · Aviso do Fabricante
• https://t.me/cvedetector/21877 · Publicação no Telegram
• https://twitter.com/dailycve/status/1912900361125306726 · Publicação no Twitter
• https://twitter.com/VulmonFeeds/status/1907497522517467429 · Publicação no Twitter
• https://osv.dev/vulnerability/GHSA-2wxq-944j-5g2v · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2025-31726 · Nota de Segurança