CVE-2022-20613

Plugin Jenkins Mailer versões 391.ve4a 38c1b cf4b e anteriores

Plugin Jenkins Mailer anterior às versões 408.vd726a 1130320 e 1.34.2

Uma vulnerabilidade de falsificação de solicitação entre sites (CSRF) no Jenkins Mailer Plugin permite que invasores utilizem o DNS usado pela instância do Jenkins para resolver um nome de host especificado pelo invasor. Esse problema ocorre porque o plugin não realiza uma verificação de permissão em um método que implementa a validação de formulários, permitindo que invasores com acesso Geral/Leitura explorem a vulnerabilidade. Além disso, o método de validação de formulários não exige solicitações POST, o que contribui para a vulnerabilidade CSRF.

Para as versões 391.ve4a 38c1b cf4b e anteriores do Jenkins Mailer Plugin, atualize para a versão 408.vd726a 1130320 ou 1.34.2 para resolver o problema.

Para o Jenkins Mailer Plugin anterior às versões 408.vd726a 1130320 e 1.34.2, atualize para a versão 408.vd726a 1130320 ou 1.34.2 para resolver o problema.

Como solução alternativa temporária, considere restringir o acesso ao método de validação de formulário para exigir permissão Geral/Administração e solicitações POST até que um patch esteja disponível.