Jenkins Snow Commander Plugin prior to 2.0 vulnerable to Missing Authorization

TRUNG BÌNH 6.5CVE-2022-25193 · GHSA-2phq-ghf8-6586 · Công bố 15/02/2022 · cập nhật 17/06/2026

Tóm tắt nhanh

CVE-2022-25193 là lỗ hổng mức TRUNG BÌNH (CVSS 6.5) ảnh hưởng io.jenkins.plugins:embotics-vcommander, snow commander (jenkins).
Xác suất bị khai thác trong 30 ngày tới (EPSS): 0.91%, cao hơn 60.1% các lỗ hổng khác.
Cách xử lý: cập nhật lên 2.0 hoặc mới hơn.

Gói / sản phẩm	Phiên bản bị ảnh hưởng	Phiên bản đã vá
io.jenkins.plugins:embotics-vcommander Maven	`< 2.0`	`2.0`
snow commander jenkins	`≤ 1.10`	Chưa có bản vá

Mô tả

Snow Commander Plugin 1.10 and earlier does not perform permission checks in methods implementing form validation.

This allows attackers with Overall/Read permission to connect to an attacker-specified webserver using attacker-specified credentials IDs obtained through another method, capturing credentials stored in Jenkins.

Additionally, these form validation methods do not require POST requests, resulting in a cross-site request forgery (CSRF) vulnerability.

Mô tả của NVD

Missing permission checks in Jenkins Snow Commander Plugin 1.10 and earlier allow attackers with Overall/Read permission to connect to an attacker-specified webserver using attacker-specified credentials IDs obtained through another method, capturing credentials stored in Jenkins.