CVE-2023-32999
ŚrednieCVSS 4.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 39 - wyżej niż 39% wszystkich znanych CVE
Streszczenie
Brak weryfikacji uprawnień w wtyczce AppSpider dla Jenkins w wersji 1.0.15 i wcześniejszych umożliwia atakującym z uprawnieniami Overall/Read połączenie z określonym przez atakującego adresem URL oraz wysłanie żądania HTTP POST z ładunkiem JSON zawierającym dane uwierzytelniające określone przez atakującego.
Ocena ryzyka
Atakujący mogą uzyskać dostęp do wrażliwych danych poprzez wysyłanie nieautoryzowanych żądań, co może prowadzić do naruszenia bezpieczeństwa systemu.
Rekomendacja
Zaleca się aktualizację wtyczki AppSpider do najnowszej wersji, aby usunąć lukę w weryfikacji uprawnień oraz ograniczenie dostępu do wtyczki tylko dla zaufanych użytkowników.
Inne podatności w Jenkins AppSpider Plugin
Zobacz wszystkie- CVE-2026-48923Średnie
Wtyczka Jenkins AppSpider w wersji 1.0.17 i wcześniejszych nie wykonuje sprawdzenia uprawnień w metodzie implementującej walidację formularza. Atakujący z uprawnieniem Overall/Read może połączyć się z adresem URL wskazanym przez atakującego.
- CVE-2023-32998Wysokie
Wtyczka AppSpider w Jenkinsie w wersji 1.0.15 i wcześniejszych zawiera podatność typu CSRF, która umożliwia atakującym łączenie się z określonym przez nich adresem URL oraz wysyłanie żądania HTTP POST z ładunkiem JSON zawierającym dane uwierzytelniające wskazane przez atakującego.
Oryginalny opis (angielski, źródło NVD)
A missing permission check in Jenkins AppSpider Plugin 1.0.15 and earlier allows attackers with Overall/Read permission to connect to an attacker-specified URL and send an HTTP POST request with a JSON payload consisting of attacker-specified credentials.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS