CVE-2026-48919
ŚrednieCVSS 6.6Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 36 - wyżej niż 36% wszystkich znanych CVE
Streszczenie
Wtyczka Jenkins Active Directory w wersji 2.41 i wcześniejszych deserializuje dane z odesłań LDAP (LDAP referrals) bez ich walidacji. Może to prowadzić do przetworzenia niezaufanych danych przez mechanizm deserializacji.
Ocena ryzyka
Atakujący mogący wpłynąć na treść odesłań LDAP może doprowadzić do wykonania niezaufanego kodu w kontekście serwera Jenkins. Może to skutkować przejęciem kontroli nad serwerem CI/CD.
Rekomendacja
Zaktualizuj wtyczkę Jenkins Active Directory do wersji nowszej niż 2.41. Do czasu aktualizacji ogranicz możliwość manipulacji odesłaniami LDAP i monitoruj nietypowe działania serwera Jenkins.
Inne podatności w Jenkins Active Directory Plugin
Zobacz wszystkie- CVE-2026-48918Średnie
Wtyczka Jenkins Active Directory Plugin w wersji 2.41 i wcześniejszych domyślnie podąża za odesłaniami LDAP (LDAP referrals).
- CVE-2023-37943Średnie
Wtyczka Active Directory dla Jenkins w wersji 2.30 i wcześniejszych ignoruje opcje 'Wymagaj TLS' oraz 'StartTls', co skutkuje zawsze niezaszyfrowanym testem połączenia z serwerami Active Directory.
Oryginalny opis (angielski, źródło NVD)
Jenkins Active Directory Plugin 2.41 and earlier deserializes data from LDAP referrals without validation.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS