Jenkins XebiaLabs XL Deploy Plugin vulnerable to Cross-site request forgery (CSRF)

中 6.5CVE-2019-10304 · GHSA-grpp-gx5h-pvh8 · 18/04/2019 公開 · 17/06/2026 更新

要点

CVE-2019-10304 は com.xebialabs.deployit.ci:deployit-plugin, xebialabs xl deploy (jenkins) に影響する深刻度「中」 (CVSS 6.5) の脆弱性です。
今後30日間に悪用される確率（EPSS）：0.89%（全脆弱性の 59.4% より高い）。
対処：7.5.5 以降に更新してください。

パッケージ	影響を受けるバージョン	修正済みバージョン
com.xebialabs.deployit.ci:deployit-plugin Maven	`< 7.5.5`	`7.5.5`
xebialabs xl deploy jenkins	`≤ 7.5.3`	修正版なし

概要

A missing permission check in a form validation method in Jenkins XebiaLabs XL Deploy Plugin allows users with Overall/Read permission to initiate a connection test to an attacker-specified server with attacker-specified credentials.

Additionally, the form validation method does not require POST requests, resulting in a CSRF vulnerability.

NVD の説明

A cross-site request forgery vulnerability in Jenkins XebiaLabs XL Deploy Plugin in the Credential#doValidateUserNamePassword form validation method allows attackers to initiate a connection to an attacker-specified server.