PT-2022-14825 · Jenkins · Jenkins Credentials Binding Plugin+1
CVE-2022-20616
·
Publicado
2022-01-12
·
Atualizado
2023-11-22
CVSS v3.1
4.3
Média
| Vetor | AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:N/A:N |
Nome do software vulnerável e versões afetadas
Plugin Jenkins Credentials Binding, versões 1.27 e anteriores
Plugin Jenkins Credentials Binding, versões anteriores à 1.27.1
Plugin Jenkins Credentials Binding, versões anteriores à 1.24.1
Descrição
A vulnerabilidade permite que invasores com acesso geral/de leitura verifiquem se um ID de credencial se refere a uma credencial de arquivo secreto e se trata-se de um arquivo zip, devido à falta de verificação de permissão em um método que implementa a validação de formulário.
Recomendações
Para as versões 1.27 e anteriores do Jenkins Credentials Binding Plugin, atualize para a versão 1.27.1 ou posterior.
Para versões do Jenkins Credentials Binding Plugin anteriores à 1.24.1, atualize para a versão 1.24.1 ou posterior.
Como solução alternativa temporária, considere restringir o acesso ao método de validação de formulário até que um patch esteja disponível.
Exploit
Correção
Missing Authorization
Incorrect Permission
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Identificadores relacionados
Produtos afetados
Jenkins
Jenkins Credentials Binding Plugin