CVSS: 8.8EPSS: 0%CPEs: 1EXPL: 0CVE-2022-41234
https://notcve.org/view.php?id=CVE-2022-41234
Jenkins Rundeck Plugin 3.6.11 and earlier does not protect access to the /plugin/rundeck/webhook/ endpoint, allowing users with Overall/Read permission to trigger jobs that are configured to be triggerable via Rundeck. Jenkins Rundeck Plugin versiones 3.6.11 y anteriores, no protegen el acceso al endpoint /plugin/rundeck/webhook/, permitiendo a usuarios con permiso Overall/Read desencadenar trabajos que están configurados para ser desencadenados por medio de Rundeck • https://www.jenkins.io/security/advisory/2022-09-21/#SECURITY-2169 • CWE-862: Missing Authorization •
CVSS: 4.3EPSS: 0%CPEs: 1EXPL: 0CVE-2022-41233
https://notcve.org/view.php?id=CVE-2022-41233
Jenkins Rundeck Plugin 3.6.11 and earlier does not perform Run/Artifacts permission checks in multiple HTTP endpoints, allowing attackers with Item/Read permission to obtain information about build artifacts of a given job, if the optional Run/Artifacts permission is enabled. Jenkins Rundeck Plugin versiones 3.6.11 y anteriores, no lleva a cabo la comprobación de permisos Run/Artifacts en múltiples endpoints HTTP, permitiendo a atacantes con permiso Item/Read obtener información sobre los artefactos de construcción de un trabajo determinado, si el permiso opcional Run/Artifacts está habilitado • https://www.jenkins.io/security/advisory/2022-09-21/#SECURITY-2170 • CWE-862: Missing Authorization •
CVSS: 5.4EPSS: 0%CPEs: 1EXPL: 0CVE-2022-30956
https://notcve.org/view.php?id=CVE-2022-30956
Jenkins Rundeck Plugin 3.6.10 and earlier does not restrict URL schemes in Rundeck webhook submissions, resulting in a stored cross-site scripting (XSS) vulnerability exploitable by attackers able to submit crafted Rundeck webhook payloads. El plugin Jenkins Rundeck versiones 3.6.10 y anteriores, no restringe los esquemas de URL en los envíos de webhooks de Rundeck, resultando en una vulnerabilidad de tipo cross-site scripting (XSS) almacenado que puede ser explotada por atacantes capaces de enviar cargas útiles de webhooks de Rundeck diseñadas • https://www.jenkins.io/security/advisory/2022-05-17/#SECURITY-2600 • CWE-79: Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting') •
CVSS: 7.1EPSS: 0%CPEs: 1EXPL: 0CVE-2020-2144
https://notcve.org/view.php?id=CVE-2020-2144
Jenkins Rundeck Plugin 3.6.6 and earlier does not configure its XML parser to prevent XML external entity (XXE) attacks. Jenkins Rundeck Plugin versiones 3.6.6 y anteriores, no configura su analizador XML para impedir ataques de tipo XML external entity (XXE). • http://www.openwall.com/lists/oss-security/2020/03/09/1 https://jenkins.io/security/advisory/2020-03-09/#SECURITY-1702 • CWE-611: Improper Restriction of XML External Entity Reference •
CVSS: 6.5EPSS: 0%CPEs: 1EXPL: 0CVE-2019-16556
https://notcve.org/view.php?id=CVE-2019-16556
Jenkins Rundeck Plugin 3.6.5 and earlier stores credentials unencrypted in its global configuration file and in job config.xml files on the Jenkins master where they can be viewed by users with Extended Read permission, or access to the master file system. Jenkins Rundeck Plugin 3.6.5 y anteriores almacena credenciales sin cifrar en su archivo de configuración global y en archivos config.xml de trabajo en el maestro de Jenkins, donde pueden ser vistos por los usuarios con permiso de lectura extendida o acceso al sistema de archivos maestro. • http://www.openwall.com/lists/oss-security/2019/12/17/1 https://jenkins.io/security/advisory/2019-12-17/#SECURITY-1636 • CWE-522: Insufficiently Protected Credentials •