PT-2020-15485 · Jenkins · Jenkins Perfecto Plugin+1
CVE-2020-2260
·
Publicado
2020-09-16
·
Atualizado
2023-10-25
CVSS v3.1
4.3
Média
| Vetor | AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:L/A:N |
Nome do software vulnerável e versões afetadas
Plugin Jenkins Perfecto, versões 1.17 e anteriores
Descrição
A ausência de uma verificação de permissão no plugin permite que invasores com permissão de Acesso Geral/Leitura se conectem a uma URL HTTP especificada pelo invasor usando credenciais fornecidas por ele, especificamente
username e password. Este problema decorre da falta de uma verificação de permissão em um método que implementa um teste de conexão.Recomendações
Para as versões 1.17 e anteriores do Jenkins Perfecto Plugin, atualize para a versão 1.18 ou posterior, que exige permissão Geral/Administração para realizar um teste de conexão, mitigando assim o risco.
Correção
Missing Authorization
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Jenkins
Jenkins Perfecto Plugin