Jenkins Proxmox Plugin: Cross-Site-Request-Forgery (CSRF)

Beschreibung

Eine Cross-Site-Request-Forgery-Schwachstelle (CSRF) im Jenkins Proxmox Plugin 0.7.0 und früher erlaubt Angreifern, eine Verbindung zu einem von ihnen bestimmten Host mit frei gewählten Zugangsdaten aufzubauen (Verbindungstest). Dabei lässt sich als Teil des Verbindungstests die SSL/TLS-Prüfung für die gesamte JVM des Jenkins-Controllers deaktivieren (siehe CVE-2022-28142), zudem kann ein Rollback mit angreiferbestimmten Parametern ausgelöst werden. CVSS-Basiswert: 6.5 (Mittel). Eine aktive Ausnutzung über CISA KEV oder ein Einsatz in Ransomware-Kampagnen ist nicht belegt. Empfohlene Massnahme: das Proxmox Plugin auf eine korrigierte Version aktualisieren.

Changelog

1. 2026-07-14 · zuletzt

   • Report neu erstellt.

Automatisch aus dem Vergleich der Datenstände erzeugt (CVSS, Schweregrad, KEV-Status, Ransomware, betroffene Produkte, EPSS-Sprünge ab 5 Prozentpunkten). Nicht redaktionell verfasst.

Betroffene Produkte

Quellen und Referenzen

• NVD (NIST) Offizieller Eintrag mit CVSS-Vektor und Referenzen
• MITRE CVE CVE-Stammsatz der MITRE Corporation
• FIRST EPSS Ausnutzungswahrscheinlichkeit der naechsten 30 Tage

Weitere Schwachstellen in Proxmox

• Proxmox VE und Mail Gateway: SSRF und Rechteausweitung zu root CVE-2022-35508
• Proxmox Virtual Environment – Reflektiertes Cross-Site-Scripting unter /api2/html/ CVE-2022-31358
• Proxmox VE, Backup Server und Mail Gateway: Umgehung der Zwei-Faktor-Authentifizierung ermöglicht Rechteausweitung CVE-2023-43320
• Jenkins Proxmox Plugin: Globale Deaktivierung der SSL/TLS-Zertifikatsprüfung CVE-2022-28142
• Proxmox VE und Mail Gateway: CRLF-Injection in Response-Headern ermöglicht clientseitigen DoS CVE-2022-35507
• Jenkins Proxmox Plugin speichert Datacenter-Passwort unverschlüsselt CVE-2022-28141