Jenkins Publisher Over CIFS Plugin confused deputy vulnerability

中 4.2CVE-2018-1999038 · GHSA-rf7h-9m85-535v · 01/08/2018 公開 · 17/06/2026 更新

要点

CVE-2018-1999038 は org.jenkins-ci.plugins:publish-over-cifs, publish over cifs (jenkins) に影響する深刻度「中」 (CVSS 4.2) の脆弱性です。
今後30日間に悪用される確率（EPSS）：0.48%（全脆弱性の 41.8% より高い）。
対処：0.11 以降に更新してください。

パッケージ	影響を受けるバージョン	修正済みバージョン
org.jenkins-ci.plugins:publish-over-cifs Maven	`< 0.11`	`0.11`
publish over cifs jenkins	`≤ 0.10`	修正版なし

概要

A confused deputy vulnerability exists in Jenkins Publisher Over CIFS Plugin 0.10 and earlier in CifsPublisherPluginDescriptor.java that allows attackers to have Jenkins connect to an attacker specified CIFS server with attacker specified credentials. Additionally, this form validation method did not require POST requests, resulting in a CSRF vulnerability. As of version 0.11, this form validation method requires POST requests and Overall/Administer permissions.

NVD の説明