Jenkins Job Import Plugin vulnerable to exposure of sensitive information

CAO 8.8CVE-2019-1003016 · GHSA-57ww-2cvr-wv38 · Công bố 06/02/2019 · cập nhật 17/06/2026

Tóm tắt nhanh

CVE-2019-1003016 là lỗ hổng mức CAO (CVSS 8.8) ảnh hưởng org.jenkins-ci.plugins:job-import-plugin, job import (jenkins).
Xác suất bị khai thác trong 30 ngày tới (EPSS): 0.91%, cao hơn 59.9% các lỗ hổng khác.
Cách xử lý: cập nhật lên 3.0 hoặc mới hơn.

Gói / sản phẩm	Phiên bản bị ảnh hưởng	Phiên bản đã vá
org.jenkins-ci.plugins:job-import-plugin Maven	`< 3.0`	`3.0`
job import jenkins	`≤ 2.1`	Chưa có bản vá

Mô tả

Jenkins Job Import Plugin did not check user permissions on its API endpoint used to access remote Jenkins instances. This allowed users with Overall/Read access to Jenkins to connect to an attacker-specified URL using attacker-specified credentials IDs obtained through another method, capturing credentials stored in Jenkins.

Job Import Plugin 3.0 will only access Jenkins instances using credentials defined in the global configuration.

Mô tả của NVD

An exposure of sensitive information vulnerability exists in Jenkins Job Import Plugin 2.1 and earlier in src/main/java/org/jenkins/ci/plugins/jobimport/JobImportAction.java, src/main/java/org/jenkins/ci/plugins/jobimport/JobImportGlobalConfig.java, src/main/java/org/jenkins/ci/plugins/jobimport/model/JenkinsSite.java that allows attackers with Overall/Read permission to have Jenkins connect to an attacker-specified URL using attacker-specified credentials IDs obtained through another method, capturing credentials stored in Jenkins.