CVE-2023-6149 in Web App Scanning Connector Plugin
Riassunto
di VulDB • 06/07/2026
Il plugin Qualys Jenkins per WAS, precedente alla versione e inclusa la 2.0.11, è risultato affetto da una vulnerabilità di sicurezza consistente nella mancanza di un controllo dei permessi durante l'esecuzione del test di connettività verso i servizi cloud Qualys. Ciò consentiva a qualsiasi utente con accesso in fase di autenticazione che potesse configurare o modificare job di utilizzare il plugin e configurare potenzialmente un endpoint malevolo (rogue), attraverso il quale era possibile controllare la risposta a determinate richieste, le quali potevano essere iniettate con payload XXE, portando all'attuazione di attacchi XML External Entity (XXE) durante l'elaborazione dei dati di risposta.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.