Jenkins Android Signing Plugin allows attackers to check whether attacker-specified file patterns match workspace contents

中 4.3CVE-2022-36915 · GHSA-vp68-fm96-7v79 · 27/07/2022 公開 · 17/06/2026 更新

要点

CVE-2022-36915 は org.jenkins-ci.plugins:android-signing, android signing (jenkins) に影響する深刻度「中」 (CVSS 4.3) の脆弱性です。
今後30日間に悪用される確率（EPSS）：0.68%（全脆弱性の 52.5% より高い）。
修正版の情報はまだありません。参考情報のベンダー勧告を確認してください。

パッケージ	影響を受けるバージョン	修正済みバージョン
org.jenkins-ci.plugins:android-signing Maven	`≤ 2.2.5`	修正版なし
android signing jenkins	`≤ 2.2.5`	修正版なし

概要

Jenkins Android Signing Plugin 2.2.5 and earlier does not perform a permission check in a method implementing form validation.

This allows attackers with Item/Read permission but without Item/Workspace or Item/Configure permission to check whether attacker-specified file patterns match workspace contents. A sequence of requests can be used to effectively list workspace contents.

NVD の説明

Jenkins Android Signing Plugin 2.2.5 and earlier does not perform a permission check in a method implementing form validation, allowing attackers with Item/Read permission but without Item/Workspace or Item/Configure permission to check whether attacker-specified file patterns match workspace contents.