Vulnerabilidades

Jenkins RQM Plugin versiones 2.8 y anteriores, almacena una contraseña sin cifrar en su archivo de configuración global en el controlador de Jenkins, donde pueden ser visualizada por usuarios con acceso al sistema de archivos del controlador de Jenkins

Jenkins Cisco Spark Plugin versiones 1.1.1 y anteriores, almacena tokens de portador sin encriptar en su archivo de configuración global en el controlador Jenkins donde pueden ser visualizados por usuarios con acceso al sistema de archivos del controlador Jenkins

Jenkins Elasticsearch Query Plugin versiones 1.2 y anteriores almacena una contraseña sin encriptar en su archivo de configuración global en el controlador Jenkins donde pueden ser visualizada por usuarios con acceso al sistema de archivos del controlador Jenkins

Jenkins Jigomerge Plugin versiones 0.9 y anteriores, almacena las contraseñas sin cifrar en los archivos config.xml de los trabajos en el controlador Jenkins, donde pueden ser visualizados por usuarios con permiso de Lectura Extendida, o con acceso al sistema de archivos del controlador Jenkins

Jenkins Skype notifier Plugin versiones 1.1.0 y anteriores, almacena una contraseña sin cifrar en su archivo de configuración global en el controlador Jenkins, donde pueden ser visualizada por usuarios con acceso al sistema de archivos del controlador Jenkins

Jenkins OpsGenie Plugin versiones 1.9 y anteriores, transmite las claves de la API en texto plano como parte del formulario de configuración global de Jenkins y de los formularios de configuración de trabajos, lo que potencialmente resulta en su exposición

Jenkins OpsGenie Plugin versiones 1.9 y anteriores, almacena las claves API sin encriptar en su archivo de configuración global y en los archivos config.xml de los trabajos en el controlador Jenkins, donde pueden ser visualizados por usuarios con permiso de Lectura Extendida (config.xml), o con acceso al sistema de…

Jenkins RocketChat Notifier Plugin versiones 1.5.2 y anteriores almacena la contraseña de inicio de sesión y el token de webhook sin cifrar en su archivo de configuración global en el controlador de Jenkins, donde pueden ser visualizados por usuarios con acceso al sistema de archivos del controlador de Jenkins

Jenkins Build Notifications Plugin versiones 1.5.0 y anteriores, transmite los tokens en texto plano como parte del formulario de configuración global de Jenkins, resultando potencialmente en su exposición

Jenkins Build Notifications Plugin versiones 1.5.0 y anteriores, almacena los tokens sin cifrar en sus archivos de configuración global en el controlador de Jenkins, donde pueden ser visualizados por usuarios con acceso al sistema de archivos del controlador de Jenkins

Jenkins Deployment Dashboard Plugin versiones 1.0.10 y anteriores, almacena una contraseña sin cifrar en su archivo de configuración global en el controlador Jenkins donde puede ser visualizada por usuarios con acceso al sistema de archivos del controlador Jenkins

Jenkins Deployment Dashboard Plugin versiones 1.0.10 y anteriores, no lleva a cabo una comprobación de permisos en varios endpoints HTTP, lo que permite a atacantes con permiso Overall/Read conectarse a una URL HTTP especificada por el atacante usando credenciales especificadas por el atacante

Una vulnerabilidad de tipo cross-site request forgery (CSRF) en Jenkins Deployment Dashboard Plugin versiones 1.0.10 y anteriores, permite a atacantes conectarse a una URL HTTP especificada por el atacante usando credenciales especificadas por el atacante

Una falta de comprobación de permisos en Jenkins Deployment Dashboard Plugin versiones 1.0.10 y anteriores, permite a atacantes con permiso Overall/Read enumerar los IDs de las credenciales almacenadas en Jenkins

Jenkins Deployment Dashboard Plugin versiones 1.0.10 y anteriores, no escapan los nombres de entorno en su Visualización del Panel de Control del Despliegue, resultando en una vulnerabilidad de tipo cross-site scripting (XSS) almacenada explotable por atacantes con permiso View/Configure

Una falta de comprobación de permisos en Jenkins Recipe Plugin versiones 1.2 y anteriores, permite a atacantes con permiso de lectura general enviar una petición HTTP a una URL especificada por el atacante y analizar la respuesta como XML

Jenkins Recipe Plugin versiones 1.2 y anteriores, no configuran su analizador XML para prevenir ataques de tipo XML external entity (XXE)

Una vulnerabilidad de tipo cross-site request forgery (CSRF) en Jenkins Recipe Plugin versiones 1.2 y anteriores, permite a atacantes enviar una petición HTTP a una URL especificada por el atacante y analizar la respuesta como XML

Jenkins Validating Email Parameter Plugin versiones 1.10 y anteriores, no escapa del nombre y la descripción de su tipo de parámetro, lo que da lugar a una vulnerabilidad de tipo cross-site scripting (XSS) almacenada explotable por atacantes con permiso de Item/Configure

Jenkins eXtreme Feedback Panel Plugin versiones 2.0.1 y anteriores, no escapa de los nombres de los trabajos usados en la información sobre herramientas, lo que da lugar a una vulnerabilidad de tipo cross-site scripting (XSS) almacenada que puede ser explotada por atacantes con permiso de Item/Configure

Una vulnerabilidad de tipo cross-site request forgery (CSRF) en Jenkins Matrix Reloaded Plugin versiones 1.1.3 y anteriores, permite a atacantes reconstruir construcciones de matrices anteriores

Jenkins Matrix Reloaded Plugin versiones 1.1.3 y anteriores, no escapan el nombre del agente en las descripciones de herramientas, resultando en una vulnerabilidad de tipo cross-site scripting (XSS) almacenado explotable por atacantes con permiso de Agent/Configure

Jenkins Project Inheritance Plugin versiones 21.04.03 y anteriores, no escapa de la razón por la que una construcción está bloqueada en la información sobre herramientas, resultando en una vulnerabilidad de tipo cross-site scripting (XSS) explotable por atacantes capaces de controlar la razón por la que un elemento de…

Jenkins Rich Text Publisher Plugin versiones 1.4 y anteriores, no escapa del mensaje HTML establecido por su paso de post-construcción, resultando en una vulnerabilidad de tipo cross-site scripting (XSS) almacenada explotable por atacantes capaces de configurar trabajos

Jenkins build-metrics Plugin 1.3 y anteriores, no lleva a cabo comprobaciones de permisos en múltiples endpoints HTTP, lo que permite a atacantes con permiso Overall/Read obtener información sobre trabajos que de otro modo serían inaccesibles para ellos