CVE-2022-41245

Plugin Jenkins Worksoft Execution Manager, versões 10.0.3.503 e anteriores

Uma vulnerabilidade de falsificação de solicitação entre sites (CSRF) permite que invasores se conectem a uma URL especificada por eles usando IDs de credenciais fornecidas por eles, capturando credenciais armazenadas no Jenkins. O problema decorre da falta de verificação de permissão em um método que implementa a validação de formulários, o que pode ser explorado por invasores com permissão Geral/Leitura. Esse método de validação de formulários também não exige solicitações POST, contribuindo para a vulnerabilidade CSRF.

Para as versões 10.0.3.503 e anteriores do plugin Jenkins Worksoft Execution Manager, considere desativar o método de validação de formulário até que um patch esteja disponível para impedir a exploração. Restrinja o acesso às funcionalidades do plugin para minimizar o risco de captura de credenciais armazenadas no Jenkins. Como solução alternativa temporária, certifique-se de que apenas usuários confiáveis tenham permissão Geral/Leitura para reduzir a superfície de ataque.