SSRF vulnerability in Jenkins Bitbucket Push and Pull Request Plugin allows capturing credentials

高 7.5CVE-2023-41937 · GHSA-vrpg-c7c4-8mpx · 06/09/2023 公開 · 17/06/2026 更新

要点

CVE-2023-41937 は io.jenkins.plugins:bitbucket-push-and-pull-request, bitbucket push and pull request (jenkins) に影響する深刻度「高」 (CVSS 7.5) の脆弱性です。
今後30日間に悪用される確率（EPSS）：0.68%（全脆弱性の 52.2% より高い）。
対処：2.8.4 以降に更新してください。

パッケージ	影響を受けるバージョン	修正済みバージョン
io.jenkins.plugins:bitbucket-push-and-pull-request Maven	`≥ 2.4.0, < 2.8.4`	`2.8.4`
bitbucket push and pull request jenkins	`≥ 2.4.0, ≤ 2.8.3`	修正版なし

概要

Jenkins Bitbucket Push and Pull Request Plugin 2.4.0 through 2.8.3 (both inclusive) trusts values provided in the webhook payload, including certain URLs, and uses configured Bitbucket credentials to connect to those URLs, allowing attackers to capture Bitbucket credentials stored in Jenkins by sending a crafted webhook payload.

NVD の説明