CVE-2020-2202

Plugin Jenkins Fortify on Demand, versões 6.0.0 e anteriores

A falta de verificação de permissões nos métodos relacionados a formulários do plugin Jenkins Fortify on Demand permitia que usuários com acesso Geral/Leitura enumerassem os IDs de credenciais armazenadas no Jenkins. Essa funcionalidade não verifica corretamente as permissões, permitindo que qualquer usuário com permissão Geral/Leitura obtenha uma lista de IDs de credenciais válidas, que podem ser usadas como parte de um ataque para capturar as credenciais utilizando outra vulnerabilidade.

Para as versões 6.0.0 e anteriores do plugin Jenkins Fortify on Demand, considere atualizar para a versão 6.0.1 ou posterior, na qual a enumeração de IDs de credenciais agora requer as permissões apropriadas. Como solução alternativa temporária, considere restringir o acesso à configuração do plugin para minimizar o risco de exploração.