Una cross site request forgery (o CSRF/XSRF) è un exploit che consente a una
terza parte non autorizzata di eseguire azioni su un sito Web con le proprie
credenziali. In Jenkins, ciò potrebbe consentire a qualcuno di eliminare
processi, compilazioni o di modificare la configurazione di Jenkins.
Quando quest'opzione è abilitata, Jenkins verificherà la presenza di un
valore nonce generato, o "crumb", all'interno di qualunque richiesta che
potrebbe causare una modifica sul server Jenkins. Ciò include qualunque
invio di moduli e le chiamate all'API remota.
L'abilitazione di quest'opzione potrebbe comportare alcuni problemi, come i
seguenti:
-
Alcune funzionalità di Jenkins (come l'API remota) sono più difficili da
utilizzare quando quest'opzione è abilitata.
-
Alcune funzionalità, in particolar modo quelle presenti nei componenti
aggiuntivi non testati con quest'opzione abilitata, potrebbero non
funzionare.
-
Se si accede a Jenkins tramite un reverse proxy, questo potrebbe rimuovere
l'intestazione HTTP CSRF, il che fa sì che alcune azioni protette non
riescano.
È possibile reperire ulteriori informazioni sugli exploit CSRF
qui
.