CVE-2026-84645
WysokieCVSS 8.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 49 - wyżej niż 49% wszystkich znanych CVE
Streszczenie
W Jenkinsie 2.579 i wcześniejszych oraz LTS 2.568.2 i wcześniejszych, obiekty typów oznaczonych jako przechowujące konfigurację w niezależnych plikach konfiguracyjnych (takich jak globalna konfiguracja i zadania) mogą pojawiać się jako zagnieżdżone wartości pól w dokumentach `config.xml` przesłanych przez użytkownika, a następnie obsługiwać żądania HTTP przez Stapler, co prowadzi do zdalnego wykonania kodu.
Ocena ryzyka
Atakujący może wykonać dowolny kod na serwerze Jenkins, co może prowadzić do pełnego przejęcia systemu i naruszenia wszystkich danych.
Rekomendacja
Natychmiast zaktualizuj Jenkinsa do wersji zawierającej poprawkę oraz ogranicz dostęp do przesyłania plików config.xml.
Inne podatności w Jenkins
Zobacz wszystkie- CVE-2016-3726Wysokie
Wiele podatności typu open redirect w Jenkins przed wersją 2.3 oraz LTS przed 1.651.2 umożliwia zdalnym atakującym przekierowywanie użytkowników na dowolne strony internetowe, co może prowadzić do ataków phishingowych.
- CVE-2016-0792Wysokie
Wiele nieokreślonych punktów końcowych API w Jenkins przed wersją 1.650 oraz LTS przed 1.642.2 umożliwia zdalnym uwierzytelnionym użytkownikom wykonanie dowolnego kodu za pomocą zserializowanych danych w pliku XML, związanych z XStream i groovy.util.Expando.
- CVE-2015-7538Wysokie
Jenkins w wersjach przed 1.640 oraz LTS przed 1.625.2 umożliwia zdalnym atakującym ominięcie mechanizmu ochrony przed CSRF za pomocą nieokreślonych wektorów.
- CVE-2015-7537Wysokie
W podatności CVE-2015-7537 występuje luka CSRF w Jenkins przed wersją 1.640 oraz LTS przed wersją 1.625.2, która pozwala zdalnym atakującym na przejęcie uwierzytelnienia administratorów poprzez nieokreślone wektory związane z metodą HTTP GET.
- CVE-2015-5325Wysokie
Jenkins w wersjach przed 1.638 oraz LTS przed 1.625.2 umożliwia atakującym obejście zamierzonych ograniczeń dostępu z slave do mastera poprzez wykorzystanie JNLP slave.
- CVE-2014-2063Wysokie
Jenkins w wersjach przed 1.551 oraz LTS przed 1.532.2 umożliwia zdalnym atakującym przeprowadzanie ataków clickjacking za pomocą nieokreślonych wektorów.
- CVE-2014-3666Wysokie
Jenkins w wersjach przed 1.583 oraz LTS przed 1.565.3 umożliwia zdalnym atakującym wykonanie dowolnego kodu poprzez spreparowany pakiet wysłany do kanału CLI.
- CVE-2026-70426Krytyczne
W Jenkins 2.575 i wcześniejszych oraz LTS 2.568.1 i wcześniejszych, filtr klas JEP-200 nie jest stosowany do klas rozwiązywanych przez ścieżkę zapasową w deserializacji Remoting. Pozwala to agentom, kodowi na agentach i atakującym z uprawnieniem Agent/Connect na ominięcie filtra dla klas na classpath Jenkinsa.
- CVE-2026-53435Wysokie
W Jenkins 2.567 i wcześniejszych oraz LTS 2.555.2 i wcześniejszych istnieje podatność umożliwiająca atakującemu deserializację dowolnych typów z rdzenia lub wtyczek Jenkinsa poprzez spreparowane zgłoszenie `config.xml`. Pozwala to na przejęcie kontroli nad żądaniami HTTP, podszywanie się pod dowolnego użytkownika i wykonywanie kodu za pomocą konsoli skryptowej lub odczyt dowolnych plików z kontrolera Jenkinsa.
- CVE-2024-23897KrytyczneAktywnie exploitowane
Jenkins w wersjach 2.441 i wcześniejszych oraz LTS 2.426.2 i wcześniejszych nie wyłącza funkcji parsera CLI, która zastępuje znak '@' poprzedzający ścieżkę pliku zawartością tego pliku. Umożliwia to nieuwierzytelnionym atakującym odczyt dowolnych plików w systemie plików kontrolera Jenkins.
Oryginalny opis (angielski, źródło NVD)
In Jenkins 2.579 and earlier, LTS 2.568.2 and earlier, objects of types marked as storing their configuration in independent top-level configuration files in Jenkins (such as the global configuration and jobs) can appear as nested field values in user-submitted `config.xml` documents and subsequently handle HTTP requests via Stapler, resulting in remote code execution.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS