Vulnerabilidades

Una vulnerabilidad de tipo cross-site request forgery en Jenkins Alauda Kubernetes Suport Plugin versión 2.3.0 y anteriores, permite a atacantes conectarse a una URL especificada por el atacante usando los ID de credenciales especificadas por el atacante obtenidas por medio de otro método, capturando el token o las…

Una falta comprobación de permiso en Jenkins Alauda DevOps Pipeline Plugin versión 2.3.2 y anteriores, permite a atacantes con permiso General y de Lectura conectarse a una URL especificada por el atacante usando los ID de credenciales especificadas por el atacante obtenidas por medio de otro método, capturando las…

Una vulnerabilidad de tipo cross-site request forgery en Jenkins Alauda DevOps Pipeline Plugin versión 2.3.2 y anteriores, permite a atacantes conectarse a una URL especificada por el atacante usando los ID de credenciales especificadas por el atacante obtenidas por medio de otro método, capturando las credenciales…

Jenkins Weibo Plugin versión 1.0.1 y anteriores, almacena las credenciales sin cifrar en su archivo de configuración global sobre el maestro Jenkins, donde pueden ser visualizadas por parte de los usuarios con acceso al sistema de archivos maestro.

Una falta de comprobación de permiso en Jenkins RapidDeploy Plugin versión 4.1 y anteriores, permite a atacantes con permiso General y de Lectura conectarse a un servidor web especificado por parte del atacante.

Una vulnerabilidad de tipo cross-site request forgery en Jenkins RapidDeploy Plugin versión 4.1 y anteriores, permite a atacantes conectarse a un servidor web especificado por parte del atacante.

Una vulnerabilidad de tipo cross-site request forgery en Jenkins Mantis Plugin versión 0.26 y anteriores, permite a atacantes conectarse a un servidor web especificado por parte del atacante usando credenciales especificadas por el atacante.

Jenkins SCTMExecutor Plugin versiones 2.2 y anteriores, transmiten las credenciales de servicio configuradas previamente en texto plano como parte de la configuración global, así como las configuraciones de trabajos individuales.

Una falta comprobación de permiso en Jenkins Team Concert Plugin versión 1.3.0 y anteriores, en métodos relacionados con formularios permitió a usuarios con acceso general y de lectura enumerar los ID de credenciales de las credenciales almacenadas en Jenkins.

Una falta comprobación de permiso en Jenkins Team Concert Plugin versión 1.3.0 y anteriores, permite a atacantes con permiso General y de Lectura conectarse a una URL especificada por el atacante usando los ID de credenciales especificadas por el atacante obtenidas por medio de otro método, capturando las credenciales…

Una vulnerabilidad de tipo cross-site request forgery en Jenkins Team Concert Plugin versión 1.3.0 y anteriores, permite a atacantes conectarse a una URL especificada por el atacante usando los ID de credenciales especificadas por el atacante obtenidas por medio de otro método, capturando las credenciales almacenadas…

Jenkins Pipeline Aggregator View Plugin versión 1.8 y anteriores, no escapan a la información mostrada en su vista, resultando en una vulnerabilidad de tipo XSS almacenado explotable por parte de los atacantes capaces de afectar el contenido de la vista, tales como el nombre a desplegar del trabajo o los nombres de…

Jenkins Mission Control Plugin versión 0.9.16 y anteriores, no escapa a los nombres a desplegar del trabajo y los nombres de compilación mostrados en su vista, resultando en una vulnerabilidad de tipo XSS almacenado explotable por parte de atacantes capaces de cambiar estas propiedades.

Jenkins buildgraph-view Plugin versión 1.8 y anteriores, no escapa a la descripción de las compilaciones mostradas en su vista, resultando en una vulnerabilidad de tipo XSS almacenado explotable por parte de los usuarios capaces de cambiar las descripciones de compilación.

Jenkins WebSphere Deployer Plugin versión 1.6.1 y anteriores, permiten a usuarios con acceso general y de lectura deshabilitar el certificado SSL/TLS y la comprobación del nombre de host para toda la JVM maestra de Jenkins.

Una vulnerabilidad de tipo cross-site request forgery en Jenkins WebSphere Deployer Plugin 1.6.1 y versiones anteriores permite a los atacantes realizar pruebas de conexión y determinar si existen archivos con una ruta de acceso especificada por el atacante en el sistema de archivos maestro de Jenkins.

Una falta de comprobación de permisos en Jenkins WebSphere Deployer Plugin 1.6.1 y versiones anteriores permite a los atacantes con permiso General/Read realizar pruebas de conexión y determinar si existen archivos con una ruta de acceso especificada por el atacante en el sistema de archivos maestro de Jenkins.

Jenkins Spira Importer Plugin 3.2.3 y versiones anteriores deshabilita la validación de certificados SSL/TLS para la JVM maestra de Jenkins.

Jenkins Redgate SQL Change Automation Plugin 2.0.3 y versiones anteriores almacena credenciales sin cifrar en archivos config.xml de job en el maestro de Jenkins, donde los usuarios con permiso de lectura extendida pueden verlas o acceder al sistema de archivos maestro.

Jenkins Rundeck Plugin 3.6.5 y anteriores almacena credenciales sin cifrar en su archivo de configuración global y en archivos config.xml de trabajo en el maestro de Jenkins, donde pueden ser vistos por los usuarios con permiso de lectura extendida o acceso al sistema de archivos maestro.

Una expresión regular proporcionada por el usuario en Jenkins Build Failure Analyzer Plugin 1.24.1 y anteriores se procesó de una manera que no era interrumpible, lo que permite a los atacantes hacer que Jenkins evaluara una expresión regular sin la capacidad de interrumpir este proceso.

Una comprobación de permisos que falta en Jenkins Build Failure Analyzer Plugin 1.24.1 y anteriores permite a los atacantes con permiso General/Lectura para que Jenkins evalúe una expresión regular costosa desde el principio.

Una vulnerabilidad de tipo cross-site request forgery en Jenkins Build Failure Analyzer Plugin 1.24.1 y anteriores permite a los atacantes que Jenkins evalúe una expresión regular costosa desde el punto de vista computacional.

Una comprobación de permisos que falta en Jenkins Gerrit Trigger Plugin 2.30.1 y versiones anteriores permite a los atacantes con permiso General/Read conectarse a una dirección URL HTTP o servidor SSH especificado por el atacante mediante credenciales especificadas por el atacante, o determinar la existencia de un…

Una vulnerabilidad de tipo cross-site request forgery en Jenkins Gerrit Trigger Plugin versión 2.30.1 y versiones anteriores permite a los atacantes conectarse a una dirección URL HTTP o servidor SSH especificada por el atacante mediante credenciales especificadas por el atacante.