CVE-2022-25212

Plugin SWAMP do Jenkins, versões 1.2.6 e anteriores

Uma vulnerabilidade de falsificação de solicitação entre sites (CSRF) permite que invasores se conectem a um servidor web especificado por eles usando credenciais fornecidas por eles mesmos. A vulnerabilidade se deve à falta de verificação de permissão em um método que implementa a validação de formulários, o que pode ser explorado por invasores com permissão Geral/Leitura. Esse método também não exige solicitações POST, o que contribui ainda mais para a vulnerabilidade CSRF. Os invasores podem capturar credenciais armazenadas no Jenkins obtendo IDs de credenciais por meio de outro método.

Para as versões 1.2.6 e anteriores do plugin Jenkins SWAMP, considere desativar o método de validação de formulário até que um patch esteja disponível para impedir a exploração. Restrinja o acesso às funcionalidades do plugin para minimizar o risco de invasores se conectarem a servidores web especificados por eles usando credenciais roubadas. No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.