CVE-2021-21664

Plugin Jenkins XebiaLabs XL Deploy, versões 10.0.1 e anteriores

Uma verificação de permissão incorreta no Jenkins XebiaLabs XL Deploy Plugin permite que invasores com permissão Generic Create se conectem a uma URL especificada pelo invasor usando IDs de credenciais obtidas por outro método, capturando credenciais de nome de usuário/senha armazenadas no Jenkins. A verificação de permissão foi parcialmente corrigida no XebiaLabs XL Deploy Plugin 7.5.9, mas ainda permite que alguns usuários não administradores acessem o método de validação de formulário.

Para as versões 10.0.1 e anteriores do Jenkins XebiaLabs XL Deploy Plugin, atualize para uma versão que inclua a correção completa para a verificação incorreta de permissão.

Para versões anteriores à 7.5.9, considere restringir o acesso ao método de validação de formulário para minimizar o risco de exploração.

Como solução alternativa temporária, considere desativar a permissão Generic Create para usuários não administradores até que um patch esteja disponível.