CVE-2026-57307
ŚrednieCVSS 4.2Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 4 — wyżej niż 4% wszystkich znanych CVE
Streszczenie
Wtyczka Zowe zDevOps dla Jenkinsa w wersji 1.1.3.50.ve350c9b_450b_1 i wcześniejszych nie sprawdza poprawnie uprawnień, co pozwala atakującym z uprawnieniem Overall/Read na łączenie się z dowolnym adresem URL przy użyciu identyfikatorów poświadczeń uzyskanych inną metodą, co prowadzi do przechwycenia poświadczeń przechowywanych w Jenkinsie.
Ocena ryzyka
Ryzyko polega na możliwości kradzieży wrażliwych poświadczeń (np. haseł, tokenów) przez atakującego, który ma jedynie podstawowy dostęp do systemu, co może umożliwić dalszy nieautoryzowany dostęp do innych systemów.
Rekomendacja
Należy niezwłocznie zaktualizować wtyczkę Zowe zDevOps do wersji nowszej niż 1.1.3.50.ve350c9b_450b_1, w której usunięto brak sprawdzania uprawnień.
Oryginalny opis (angielski, źródło NVD)
A missing permission check in Jenkins Zowe zDevOps Plugin 1.1.3.50.ve350c9b_450b_1 and earlier allows attackers with Overall/Read permission to connect to an attacker-specified URL using attacker-specified credentials IDs obtained through another method, capturing credentials stored in Jenkins.