CVE-2022-25193

Plugin Jenkins Snow Commander, versões 1.10 e anteriores

O problema diz respeito à ausência de verificações de permissão no plugin Jenkins Snow Commander, permitindo que invasores com permissão Geral/Leitura se conectem a um servidor web específico usando IDs de credenciais especificadas. Isso pode levar à captura de credenciais armazenadas no Jenkins. Além disso, os métodos de validação de formulários no plugin são vulneráveis a falsificação de solicitação entre sites (CSRF), pois não exigem solicitações POST.

Para as versões 1.10 e anteriores do plugin Jenkins Snow Commander, considere desativar o plugin até que um patch esteja disponível para impedir que invasores explorem a falta de verificações de permissão e a vulnerabilidade CSRF. Restrinja o acesso aos métodos de validação de formulários do plugin para minimizar o risco de exploração. Evite usar o plugin para se conectar a serviços web externos até que o problema seja resolvido. No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.