CVE-2022-41250

Plugin Jenkins SCM HttpClient, versões 1.5 e anteriores

A falta de uma verificação de permissão no plugin permite que invasores com permissão Geral/Leitura se conectem a um servidor HTTP especificado pelo invasor usando IDs de credenciais obtidas por outro método, capturando credenciais armazenadas no Jenkins. O método de validação de formulário não exige solicitações POST, resultando em uma vulnerabilidade de falsificação de solicitação entre sites (CSRF).

Para as versões 1.5 e anteriores do plugin Jenkins SCM HttpClient, considere desativar o plugin até que um patch esteja disponível para impedir que invasores capturem credenciais armazenadas no Jenkins. Restrinja o acesso às funcionalidades do plugin para minimizar o risco de exploração. Evite usar o plugin para se conectar a servidores HTTP usando IDs de credenciais especificadas pelo invasor até que o problema seja resolvido.