Średnia

Jenkins Credentials plugin reveals encrypted values of credentials to users with Extended Read permission

Ujawniono: 02.10.2024
Aktualizacja: 11.10.2026 12:21

Jenkins Credentials Plugin 1380.va_435002fa_924 and earlier, except 1371.1373.v4eb_fa_b_7161e9, does not redact encrypted values of credentials using the SecretBytes type (e.g., Certificate credentials, or Secret file credentials from Plain Credentials Plugin) when accessing item config.xml via REST API or CLI.

This allows attackers with Item/Extended Read permission to view encrypted SecretBytes values in credentials.

This issue is similar to SECURITY-266 in the 2016-05-11 security advisory, which applied to the Secret type used for inline secrets and some credentials types.

Credentials Plugin 1381.v2c3a_12074da_b_ redacts the encrypted values of credentials using the SecretBytes type in item config.xml files.

This fix is only effective on Jenkins 2.479 and newer, LTS 2.462.3 and newer. While Credentials Plugin 1381.v2c3a_12074da_b_ can be installed on Jenkins 2.463 through 2.478 (both inclusive), encrypted values of credentials using the SecretBytes type will not be redacted when accessing item config.xml via REST API or CLI.

Czego dotyczy

Kliknij technologię, aby zobaczyć wszystkie dotyczące jej podatności.

Platforma	Paczka	Podatne wersje	Poprawka w wersji
Java / Kotlin (Maven)	org.jenkins-ci.plugins:credentials	>= 1372, < 1381.v2c3a, < 1371.1373.v4eb	1381.v2c3a, 1371.1373.v4eb

Odnośniki

Ocena CVSS 4.3/10

Wektor CVSS: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:N/A:N
Słabość (CWE): CWE-200, CWE-522
Platforma: Java / Kotlin (Maven)
Paczka: org.jenkins-ci.plugins:credentials
Ujawniono: 02.10.2024
Aktualizacja: 11.10.2026 12:21

Źródła i licencje

OSV / GitHub Advisory Database - GHSA-62jv-j4w7-5hh8 - CC BY 4.0

Historia podatności: org.jenkins-ci.plugins:credentials

Wszystkie opisane podatności tej paczki (Java / Kotlin (Maven)), od najnowszej. Widać, czy to jednorazowa wpadka, czy paczka, której trzeba pilnować.

Wszystkich wpisów: 5
Pierwsza → ostatnia: 06.2021 10.2024
Bez poprawki: 0
Wykorzystywana w atakach: 0

Rozkład istotności

Średnia 5

Ujawnienia w latach

2021: 1
2022: 3
2023: 0
2024: 1
2025: 0
2026: 0

02.10.2024

Jenkins Credentials plugin reveals encrypted values of credentials to users with Extended Read permission ten wpis

Średnia · 4.3 CVE-2024-47805 >= 1372, < 1381.v2c3a, < 1371.1373.v4eb 1381.v2c3a, 1371.1373.v4eb
24.05.2022

Insertion of Sensitive Information into Externally-Accessible File or Directory in Jenkins Credentials Plugin

Średnia · 4.3 CVE-2019-10320 < 2.1.19 2.1.19
14.05.2022

Exposure of Sensitive Information to an Unauthorized Actor in Jenkins SSH Credentials Plugin

Średnia · 6.5 CVE-2018-1000601 < 2.1.17 2.1.17
13.04.2022

Cross-site Scripting in Jenkins Credentials Plugin

Średnia · 5.4 CVE-2022-29036 < 2.6.1.1, >= 2.6.2, < 1074.1076.v39c30cecb_0e2, >= 1087.v16065d268466, < 1087.1089.v2f1b_9a_b_040e4, >= 1105, <= 1111.v35a 2.6.1.1, 1074.1076.v39c30cecb_0e2, 1087.1089.v2f1b_9a_b_040e4
16.06.2021

Cross-Site Request Forgery in Jenkins Credentials Plugin

Średnia · 6.1 CVE-2021-21648 >= 2.3.16, < 2.3.19, >= 2.3.15, < 2.3.15.1, >= 2.3.14, < 2.3.14.1, >= 2.3.8, < 2.3.13.1, >= 2.3.1, < 2.3.7.1, < 2.3.0.1 2.3.19, 2.3.15.1, 2.3.14.1, 2.3.13.1, 2.3.7.1, 2.3.0.1

Dowiedz się, które podatności dotyczą Twojej aplikacji

Po podłączeniu integracji DockRay i włączeniu raportowania oprogramowania DockRay porównuje zgłoszone wersje komponentów ze znanymi podatnościami i powiadamia o potwierdzonych dopasowaniach. Zakres zależy od obsługiwanej technologii i dostępnych biuletynów.

Podłącz swoją aplikację