CVE-2026-42525

ŚrednieCVSS 4.3

Opublikowano: 29/04/2026(UTC)Zaktualizowano: 26/10/2026(UTC)Przetłumaczono: 26/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.21%

Percentyl 11 - wyżej niż 11% wszystkich znanych CVE

Streszczenie

Wtyczka Jenkins Microsoft Entra ID (wcześniej Azure AD) w wersji 666.v6060de32f87d i wcześniejszych nie ogranicza adresu URL przekierowania po logowaniu. Umożliwia to atakującym przeprowadzanie ataków phishingowych.

Ocena ryzyka

Atakujący może wykorzystać otwarte przekierowanie do kierowania użytkowników na złośliwe strony phishingowe podszywające się pod logowanie, co może prowadzić do kradzieży poświadczeń.

Rekomendacja

Zaktualizuj wtyczkę Jenkins Microsoft Entra ID do wersji nowszej niż 666.v6060de32f87d, gdy tylko będzie dostępna. Do czasu aktualizacji edukuj użytkowników w zakresie phishingu i monitoruj nietypowe przekierowania.

Inne podatności w Jenkins Microsoft Entra ID Plugin

CVE-2026-84672Wysokie
Podatność w Jenkins Microsoft Entra ID Plugin 710.v0b_ff8e9cc2d2 i wcześniejszych polega na przyznawaniu uprawnień grupom Entra na podstawie zarówno unikalnego identyfikatora obiektu, jak i nazwy wyświetlanej. Atakujący, którzy mogą utworzyć grupę Entra z kolidującą nazwą wyświetlaną, mogą uzyskać uprawnienia skonfigurowane dla uprzywilejowanej grupy.

Oryginalny opis (angielski, źródło NVD)

Jenkins Microsoft Entra ID (previously Azure AD) Plugin 666.v6060de32f87d and earlier does not restrict the redirect URL after login, allowing attackers to perform phishing attacks.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS