Jenkins Pipeline: Groovy Plugin has Insufficiently Protected Credentials

中 4.3CVE-2022-25180 · GHSA-qv6q-x9vr-w7j3 · 15/02/2022 公開 · 17/06/2026 更新

要点

CVE-2022-25180 は org.jenkins-ci.plugins.workflow:workflow-cps, pipeline (jenkins) に影響する深刻度「中」 (CVSS 4.3) の脆弱性です。
今後30日間に悪用される確率（EPSS）：0.53%（全脆弱性の 44.7% より高い）。
対処：2656.vf7a_e7b_75a_457 以降に更新してください。

パッケージ	影響を受けるバージョン	修正済みバージョン
org.jenkins-ci.plugins.workflow:workflow-cps Maven	`< 2656.vf7a_e7b_75a_457`	`2656.vf7a_e7b_75a_457`
pipeline jenkins	`≤ 2648.va9433432b33c`	修正版なし

概要

Jenkins Pipeline: Groovy Plugin 2648.va9433432b33c and earlier includes password parameters from the original build in replayed builds.

This allows attackers with Run/Replay permission to obtain the values of password parameters passed to previous builds of a Pipeline.

Pipeline: Groovy Plugin 2656.vf7a_e7b_75a_457 does not allow builds containing password parameters to be replayed.

NVD の説明

Jenkins Pipeline: Groovy Plugin 2648.va9433432b33c and earlier includes password parameters from the original build in replayed builds, allowing attackers with Run/Replay permission to obtain the values of password parameters passed to previous builds of a Pipeline.