PT-2021-14680 · Jenkins · Jenkins Team Foundation Server Plugin+1

Daniel Beck

·

CVE-2021-21637

·

Publicado

2021-03-30

·

Atualizado

2023-10-25

CVSS v3.1

6.5

Média

VetorAV:N/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N
Nome do software vulnerável e versões afetadas
Plugin Jenkins Team Foundation Server, versões 5.157.1 e anteriores
Descrição
A ausência de uma verificação de permissão no plugin permite que invasores com permissão “Overall/Read” se conectem a uma URL especificada pelo invasor usando IDs de credenciais fornecidas por ele e obtidas por outro método, capturando assim as credenciais armazenadas no Jenkins.
Recomendações
Para as versões 5.157.1 e anteriores do plugin Jenkins Team Foundation Server, como solução temporária, considere restringir o acesso ao plugin até que um patch esteja disponível.
No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

Missing Authorization

Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
dbugs@ptsecurity.com

Enumeração de Fraquezas

CWE-862

Identificadores relacionados

CVE-2021-21637
GHSA-6364-JX4H-7564

Produtos afetados

Jenkins
Jenkins Team Foundation Server Plugin