CVE-2023-32979

ŚrednieCVSS 4.3

Opublikowano: 16/05/2023(UTC)Zaktualizowano: 28/10/2026(UTC)Przetłumaczono: 28/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.50%

Percentyl 43 - wyżej niż 43% wszystkich znanych CVE

Streszczenie

Wtyczka Jenkins Email Extension Plugin nie wykonuje sprawdzenia uprawnień w metodzie implementującej walidację formularza, co pozwala atakującym z uprawnieniem Overall/Read sprawdzić istnienie plików w katalogu email-templates/ w katalogu domowym Jenkinsa na kontrolerze.

Ocena ryzyka

Atakujący z niskimi uprawnieniami może uzyskać informacje o strukturze plików systemu, co może ułatwić dalsze ataki.

Rekomendacja

Zaktualizuj wtyczkę Jenkins Email Extension Plugin do wersji zawierającej poprawkę. Ogranicz uprawnienia Overall/Read do niezbędnych użytkowników.

Inne podatności w Jenkins Email Extension Plugin

CVE-2026-48920Wysokie
Wtyczka Jenkins Email Extension w wersji 1933.v45cec755423f i wcześniejszych umożliwia osadzanie obrazów jako `base64` w treści e-maili poprzez ustawienie atrybutu `data-inline`, bez ograniczeń dotyczących adresów URL obrazów. To pozwala atakującym kontrolującym treść e-maila na określenie adresów URL `file:`, co umożliwia odczyt dowolnych plików z systemu plików kontrolera Jenkins.

Oryginalny opis (angielski, źródło NVD)

Jenkins Email Extension Plugin does not perform a permission check in a method implementing form validation, allowing attackers with Overall/Read permission to check for the existence of files in the email-templates/ directory in the Jenkins home directory on the controller file system.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS