Jenkins Orka by MacStadium Plugin missing permission check

CAO 7.1CVE-2023-37949 · GHSA-4hm4-94g6-f23f · Công bố 12/07/2023 · cập nhật 17/06/2026

Tóm tắt nhanh

CVE-2023-37949 là lỗ hổng mức CAO (CVSS 7.1) ảnh hưởng io.jenkins.plugins:macstadium-orka, orka by macstadium (jenkins).
Xác suất bị khai thác trong 30 ngày tới (EPSS): 0.62%, cao hơn 50.0% các lỗ hổng khác.
Cách xử lý: cập nhật lên 1.34 hoặc mới hơn.

Gói / sản phẩm	Phiên bản bị ảnh hưởng	Phiên bản đã vá
io.jenkins.plugins:macstadium-orka Maven	`< 1.34`	`1.34`
orka by macstadium jenkins	`< 1.34`	`1.34`

Mô tả

Jenkins Orka by MacStadium Plugin 1.33 and earlier does not perform a permission check in an HTTP endpoint.

This allows attackers with Overall/Read permission to connect to an attacker-specified URL using attacker-specified credentials IDs obtained through another method, capturing credentials stored in Jenkins.

Orka by MacStadium Plugin 1.34 requires Overall/Administer permission to access the affected HTTP endpoint.

Mô tả của NVD

A missing permission check in Jenkins Orka by MacStadium Plugin 1.33 and earlier allows attackers with Overall/Read permission to connect to an attacker-specified URL using attacker-specified credentials IDs obtained through another method, capturing credentials stored in Jenkins.