CVE-2026-70430
NiskieCVSS 2.7Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 7 - wyżej niż 7% wszystkich znanych CVE
Streszczenie
Jenkins w wersji 2.575 i wcześniejszych oraz LTS 2.568.1 i wcześniejszych nie ogranicza typów obiektów, które mogą być tworzone w ramach konfiguracji strategii nazewnictwa projektów. Atakujący z uprawnieniem Overall/Manage może tworzyć dowolne typy związane z konfiguracją, w tym te przeznaczone tylko dla administratorów.
Ocena ryzyka
Możliwość tworzenia dowolnych typów konfiguracyjnych może prowadzić do eskalacji uprawnień lub nieautoryzowanej modyfikacji konfiguracji Jenkinsa, co zagraża integralności i bezpieczeństwu systemu.
Rekomendacja
Zaktualizuj Jenkinsa do wersji, która zawiera poprawkę ograniczającą typy obiektów. Ogranicz również uprawnienia Overall/Manage tylko do zaufanych administratorów.
Oryginalny opis (angielski, źródło NVD)
Jenkins 2.575 and earlier, LTS 2.568.1 and earlier does not restrict the types of objects that can be instantiated as part of the project naming strategy configuration, allowing attackers with Overall/Manage permission to instantiate arbitrary types related to configuration, including those intended for configuration only by administrators.