CVE-2025-64147 CVSS 4.3 中危

CVE-2025-64147 Jenkins Curseforge Publisher Plugin API密钥明文显示漏洞

披露日期: 2025-10-29

来源: [email protected]

漏洞信息

漏洞编号

CVE-2025-64147

漏洞类型

信息泄露

CVSS评分

4.3 中危

攻击向量

网络 (AV:N)

认证要求

低权限 (PR:L)

用户交互

无需交互 (UI:N)

影响产品

Jenkins Curseforge Publisher Plugin

漏洞概述

CVE-2025-64147是Jenkins Curseforge Publisher Plugin 1.0版本中的一个信息泄露漏洞。该漏洞允许低权限用户通过查看作业配置表单获取到明文形式的API密钥。攻击者可以利用此漏洞在用户不知情的情况下窃取API密钥，进而可能访问或操控与该API密钥关联的 Curseforge 服务资源。由于API密钥在配置页面中以明文形式展示，攻击者只需具备作业配置页面的访问权限即可获取这些敏感凭证。此漏洞的CVSS评分为4.3，属于中等严重程度，主要影响机密性。

技术细节

Jenkins Curseforge Publisher Plugin在版本1.0中实现作业配置表单时，未对API密钥输入字段进行适当的遮蔽处理。正常情况下，涉及敏感信息的表单字段应使用密码类型输入框或对显示内容进行遮蔽（如使用*号替换），以防止 Shoulder Surfing 攻击和数据被恶意脚本读取。然而，该插件直接以明文形式展示API密钥，使得任何能够访问 Jenkins 作业配置页面的用户都可以直接看到这些敏感凭证。攻击者可以通过以下方式利用此漏洞：1) 拥有作业配置查看权限的用户可直接观察页面；2) 通过浏览器开发者工具检查页面元素获取明文值；3) 利用恶意脚本在用户访问页面时窃取表单数据。由于该插件未实现任何防止复制或读取的安全措施，攻击门槛较低。

攻击链分析

STEP 1

步骤1

攻击者获取Jenkins作业配置页面的访问权限（需具备低权限用户身份）

STEP 2

步骤2

导航至包含Curseforge Publisher插件配置的作业

STEP 3

步骤3

在Curseforge Publisher配置区域查看API密钥字段，发现密钥以明文形式显示

STEP 4

步骤4

使用浏览器开发者工具或页面源码检查，直接获取明文API密钥

STEP 5

步骤5

利用窃取的API密钥访问Curseforge API服务，执行未授权操作

PoC / 利用代码

⚠️ 仅供安全研究

以下代码仅用于安全研究和授权测试，未经授权使用属于违法行为。

PoC

// CVE-2025-64147 PoC - Information Disclosure via Page Inspection
// Steps to reproduce:
// 1. Navigate to Jenkins job configuration page
// 2. Locate the Curseforge Publisher section
// 3. Inspect the API Key input field in browser dev tools
// 4. The API key will be visible as plaintext in the 'value' attribute

// Example JavaScript to extract the API key:
(function() {
    var apiKeyInput = document.querySelector('input[name="_.apiKey"]');
    if (apiKeyInput) {
        console.log('Exposed API Key:', apiKeyInput.value);
        return apiKeyInput.value;
    }
})();

// Or simply view page source to find:
// <input type="text" name="_.apiKey" value="ACTUAL_API_KEY_HERE" />
// Instead of masked:
// <input type="password" name="_.apiKey" value="ACTUAL_API_KEY_HERE" />

影响范围

Jenkins Curseforge Publisher Plugin 1.0

防御指南

临时缓解措施

在官方修复版本发布前，可采取以下临时缓解措施：1) 限制对包含Curseforge Publisher配置作业的访问权限，仅授权必要人员访问；2) 定期更换Curseforge API密钥以降低密钥泄露后的风险；3) 监控Jenkins访问日志，关注异常的页面访问行为；4) 考虑使用外部凭证管理系统替代直接在Jenkins中存储API密钥；5) 启用Jenkins安全审计功能记录配置变更操作。

参考链接

快速导航: 前沿安全最新收录域名列表最新威胁情报列表最新网站排名列表最新工具资源列表最新CVE漏洞列表