Jenkins Azure AD Plugin allows bypassing CSRF protection for any URL
An extension point in Jenkins allows selectively disabling cross-site request forgery (CSRF) protection for specific URLs. Jenkins Azure AD Plugin implements this extension point for URLs used by a JavaScript component.
In Jenkins Azure AD Plugin 179.vf6841393099e and earlier this implementation is too permissive, allowing attackers to craft URLs that would bypass the CSRF protection of any target URL.
This vulnerability was originally introduced in Azure AD Plugin 164.v5b48baa961d2.
Azure AD Plugin 180.v8b1e80e6f242 no longer allows bypassing CSRF protection for URLs used by the JavaScript component. Instead, that component was reconfigured to pass the expected CSRF token.
Software afectado
Haz clic en una tecnología para ver todas sus vulnerabilidades.
| Plataforma | Paquete | Versiones vulnerables | Corregida en |
|---|---|---|---|
| Java / Kotlin (Maven) | org.jenkins-ci.plugins:azure-ad | < 180.v8b1e80e6f242 | 180.v8b1e80e6f242 |
Referencias
- https://nvd.nist.gov/vuln/detail/CVE-2021-21679
- https://github.com/jenkinsci/azure-ad-plugin/commit/8b1e80e6f242275127ebb177e2a755a2104b4853
- https://github.com/jenkinsci/azure-ad-plugin
- https://www.jenkins.io/security/advisory/2021-08-31/#SECURITY-2470
- http://www.openwall.com/lists/oss-security/2021/08/31/1
- Vector CVSS
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H- Debilidad (CWE)
CWE-352, CWE-693- Plataforma
- Java / Kotlin (Maven)
- Paquete
org.jenkins-ci.plugins:azure-ad- Publicada
- 24.05.2022
- Actualizado
- 11.10.2026 11:22
Fuentes y licencias
OSV / GitHub Advisory Database - GHSA-x77r-7m5w-pqq2 - CC BY 4.0
Historial de vulnerabilidades: org.jenkins-ci.plugins:azure-ad
Todas las vulnerabilidades publicadas de este paquete (Java / Kotlin (Maven)), de la más reciente a la más antigua. Muestra si es un fallo aislado o un paquete que hay que vigilar.
- Entradas en total
- 6
- Primera → última
- 05.2022 04.2026
- Sin corrección
- 1
- Explotada en ataques
- 0
Distribución por gravedad
- Alta 3
- Media 1
- Baja 2
Divulgaciones por año
- 2022: 3
- 2023: 2
- 2024: 0
- 2025: 0
- 2026: 1
-
Jenkins Azure AD Plugin allows bypassing CSRF protection for any URL esta entrada
Identifica las vulnerabilidades de tu aplicación
Con la integración de DockRay y el inventario de software activado, DockRay compara las versiones notificadas de los componentes con las vulnerabilidades conocidas y avisa de las coincidencias confirmadas. La cobertura depende de la tecnología compatible y de los avisos disponibles.