Lack of authentication mechanism in Jenkins DotCi Plugin webhook

緊急 9.8CVE-2022-41238 · GHSA-9mc6-vgmq-x6xf · 21/09/2022 公開 · 17/06/2026 更新

要点

CVE-2022-41238 は com.groupon.jenkins-ci.plugins:DotCi, dotci (jenkins) に影響する深刻度「緊急」 (CVSS 9.8) の脆弱性です。
今後30日間に悪用される確率（EPSS）：1.1%（全脆弱性の 66.9% より高い）。
修正版の情報はまだありません。参考情報のベンダー勧告を確認してください。

パッケージ	影響を受けるバージョン	修正済みバージョン
com.groupon.jenkins-ci.plugins:DotCi Maven	`≤ 2.40.00`	修正版なし
dotci jenkins	`≤ 2.40.00`	修正版なし

概要

DotCi Plugin provides a webhook endpoint at /githook/ that can be used to trigger builds of the job for a GitHub repository.

In DotCi Plugin 2.40.00 and earlier, this endpoint can be accessed without authentication.

This allows unauthenticated attackers to trigger builds of jobs corresponding to the attacker-specified repository for attacker-specified commits.

This plugin has been suspended.

NVD の説明

A missing permission check in Jenkins DotCi Plugin 2.40.00 and earlier allows unauthenticated attackers to trigger builds of jobs corresponding to the attacker-specified repository for attacker-specified commits.