Media

Jenkins Credentials plugin reveals encrypted values of credentials to users with Extended Read permission

Publicada: 02.10.2024
Actualizado: 11.10.2026 12:21

Jenkins Credentials Plugin 1380.va_435002fa_924 and earlier, except 1371.1373.v4eb_fa_b_7161e9, does not redact encrypted values of credentials using the SecretBytes type (e.g., Certificate credentials, or Secret file credentials from Plain Credentials Plugin) when accessing item config.xml via REST API or CLI.

This allows attackers with Item/Extended Read permission to view encrypted SecretBytes values in credentials.

This issue is similar to SECURITY-266 in the 2016-05-11 security advisory, which applied to the Secret type used for inline secrets and some credentials types.

Credentials Plugin 1381.v2c3a_12074da_b_ redacts the encrypted values of credentials using the SecretBytes type in item config.xml files.

This fix is only effective on Jenkins 2.479 and newer, LTS 2.462.3 and newer. While Credentials Plugin 1381.v2c3a_12074da_b_ can be installed on Jenkins 2.463 through 2.478 (both inclusive), encrypted values of credentials using the SecretBytes type will not be redacted when accessing item config.xml via REST API or CLI.

Software afectado

Haz clic en una tecnología para ver todas sus vulnerabilidades.

Plataforma	Paquete	Versiones vulnerables	Corregida en
Java / Kotlin (Maven)	org.jenkins-ci.plugins:credentials	>= 1372, < 1381.v2c3a, < 1371.1373.v4eb	1381.v2c3a, 1371.1373.v4eb

Referencias

Puntuación CVSS 4.3/10

Vector CVSS: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:N/A:N
Debilidad (CWE): CWE-200, CWE-522
Plataforma: Java / Kotlin (Maven)
Paquete: org.jenkins-ci.plugins:credentials
Publicada: 02.10.2024
Actualizado: 11.10.2026 12:21

Fuentes y licencias

OSV / GitHub Advisory Database - GHSA-62jv-j4w7-5hh8 - CC BY 4.0

Historial de vulnerabilidades: org.jenkins-ci.plugins:credentials

Todas las vulnerabilidades publicadas de este paquete (Java / Kotlin (Maven)), de la más reciente a la más antigua. Muestra si es un fallo aislado o un paquete que hay que vigilar.

Entradas en total: 5
Primera → última: 06.2021 10.2024
Sin corrección: 0
Explotada en ataques: 0

Distribución por gravedad

Media 5

Divulgaciones por año

2021: 1
2022: 3
2023: 0
2024: 1
2025: 0
2026: 0

02.10.2024

Jenkins Credentials plugin reveals encrypted values of credentials to users with Extended Read permission esta entrada

Media · 4.3 CVE-2024-47805 >= 1372, < 1381.v2c3a, < 1371.1373.v4eb 1381.v2c3a, 1371.1373.v4eb
24.05.2022

Insertion of Sensitive Information into Externally-Accessible File or Directory in Jenkins Credentials Plugin

Media · 4.3 CVE-2019-10320 < 2.1.19 2.1.19
14.05.2022

Exposure of Sensitive Information to an Unauthorized Actor in Jenkins SSH Credentials Plugin

Media · 6.5 CVE-2018-1000601 < 2.1.17 2.1.17
13.04.2022

Cross-site Scripting in Jenkins Credentials Plugin

Media · 5.4 CVE-2022-29036 < 2.6.1.1, >= 2.6.2, < 1074.1076.v39c30cecb_0e2, >= 1087.v16065d268466, < 1087.1089.v2f1b_9a_b_040e4, >= 1105, <= 1111.v35a 2.6.1.1, 1074.1076.v39c30cecb_0e2, 1087.1089.v2f1b_9a_b_040e4
16.06.2021

Cross-Site Request Forgery in Jenkins Credentials Plugin

Media · 6.1 CVE-2021-21648 >= 2.3.16, < 2.3.19, >= 2.3.15, < 2.3.15.1, >= 2.3.14, < 2.3.14.1, >= 2.3.8, < 2.3.13.1, >= 2.3.1, < 2.3.7.1, < 2.3.0.1 2.3.19, 2.3.15.1, 2.3.14.1, 2.3.13.1, 2.3.7.1, 2.3.0.1

Identifica las vulnerabilidades de tu aplicación

Con la integración de DockRay y el inventario de software activado, DockRay compara las versiones notificadas de los componentes con las vulnerabilidades conocidas y avisa de las coincidencias confirmadas. La cobertura depende de la tecnología compatible y de los avisos disponibles.

Conectar tu aplicación