CVE-2022-43407

Yüksək

Təsvir

Jenkins Pipeline: Input Step Plugin 451.vf1a_a_4f405289 və daha əvvəlki versiyaları 'input' addımının istəyə bağlı göstərilən ID-sini məhdudlaşdırmır və ya təmizləmir; bu ID verilmiş 'input' addımı üzrə istifadəçi qarşılıqlı əlaqəsini (davam etmə və ya ləğv etmə) emal edən URL-lər üçün istifadə olunur və düzgün kodlaşdırılmır. Bu, Pipeline-ları konfiqurasiya edə bilən hücumçulara 'input' addımı ID-lərindən Jenkins-in URL-lərini qurmağa imkan verir ki, bu da 'input' addımı ilə qarşılıqlı əlaqə zamanı Jenkins-də hər hansı hədəf URL-in CSRF müdafiəsindən yan keçə bilər.

CiddilikYüksək

CVSS8.8

İstismar ehtimalı—

Məhsul

Jenkins Pipeline\

Dərc19 okt 2022

İlk görülmə19 okt 2022

Zəiflik növüCWE-352Saytlararası sorğu saxtakarlığı (CSRF)

Necə düzəltmək olar

Yeniləyin

org.jenkins-ci.plugins:pipeline-input-step456.vd8a_957db_5b_e9 və ya daha yeni versiya

Təsirlənən məhsullar

Məhsul	Təsirlənən versiyalar	Düzəldildiyi versiya
jenkins pipeline\	_input_step ≤ v ≤ 451.vf1a_a_4f405289	—
org.jenkins-ci.plugins:pipeline-input-stepMaven	v < 456.vd8a_957db_5b_e9	456.vd8a_957db_5b_e9

Versiyanızı yoxlayın

Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.

Intelligence 360 paketində

Attack Surface Management

Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.