CVE-2026-84648
WysokieCVSS 8.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 33 - wyżej niż 33% wszystkich znanych CVE
Streszczenie
W Jenkinsie 2.579 i wcześniejszych oraz LTS 2.568.2 i wcześniejszych, przeglądarka logów systemowych nie escapuje metadanych rekordów logów (źródło, poziom i znacznik czasu), co prowadzi do podatności na przechowywany XSS. Atakujący kontrolujący procesy agentów mogą wykorzystać tę podatność.
Ocena ryzyka
Atakujący może wstrzyknąć złośliwy skrypt do logów, który wykona się w przeglądarce administratora, umożliwiając kradzież sesji lub inne nieautoryzowane działania.
Rekomendacja
Zaktualizuj Jenkinsa do wersji, która poprawnie escapuje metadane logów, oraz ogranicz zaufanie do procesów agentów.
Inne podatności w Jenkins
Zobacz wszystkie- CVE-2016-3726Wysokie
Wiele podatności typu open redirect w Jenkins przed wersją 2.3 oraz LTS przed 1.651.2 umożliwia zdalnym atakującym przekierowywanie użytkowników na dowolne strony internetowe, co może prowadzić do ataków phishingowych.
- CVE-2016-0792Wysokie
Wiele nieokreślonych punktów końcowych API w Jenkins przed wersją 1.650 oraz LTS przed 1.642.2 umożliwia zdalnym uwierzytelnionym użytkownikom wykonanie dowolnego kodu za pomocą zserializowanych danych w pliku XML, związanych z XStream i groovy.util.Expando.
- CVE-2015-7538Wysokie
Jenkins w wersjach przed 1.640 oraz LTS przed 1.625.2 umożliwia zdalnym atakującym ominięcie mechanizmu ochrony przed CSRF za pomocą nieokreślonych wektorów.
- CVE-2015-7537Wysokie
W podatności CVE-2015-7537 występuje luka CSRF w Jenkins przed wersją 1.640 oraz LTS przed wersją 1.625.2, która pozwala zdalnym atakującym na przejęcie uwierzytelnienia administratorów poprzez nieokreślone wektory związane z metodą HTTP GET.
- CVE-2015-5325Wysokie
Jenkins w wersjach przed 1.638 oraz LTS przed 1.625.2 umożliwia atakującym obejście zamierzonych ograniczeń dostępu z slave do mastera poprzez wykorzystanie JNLP slave.
- CVE-2014-2063Wysokie
Jenkins w wersjach przed 1.551 oraz LTS przed 1.532.2 umożliwia zdalnym atakującym przeprowadzanie ataków clickjacking za pomocą nieokreślonych wektorów.
- CVE-2014-3666Wysokie
Jenkins w wersjach przed 1.583 oraz LTS przed 1.565.3 umożliwia zdalnym atakującym wykonanie dowolnego kodu poprzez spreparowany pakiet wysłany do kanału CLI.
- CVE-2026-70426Krytyczne
W Jenkins 2.575 i wcześniejszych oraz LTS 2.568.1 i wcześniejszych, filtr klas JEP-200 nie jest stosowany do klas rozwiązywanych przez ścieżkę zapasową w deserializacji Remoting. Pozwala to agentom, kodowi na agentach i atakującym z uprawnieniem Agent/Connect na ominięcie filtra dla klas na classpath Jenkinsa.
- CVE-2026-53435Wysokie
W Jenkins 2.567 i wcześniejszych oraz LTS 2.555.2 i wcześniejszych istnieje podatność umożliwiająca atakującemu deserializację dowolnych typów z rdzenia lub wtyczek Jenkinsa poprzez spreparowane zgłoszenie `config.xml`. Pozwala to na przejęcie kontroli nad żądaniami HTTP, podszywanie się pod dowolnego użytkownika i wykonywanie kodu za pomocą konsoli skryptowej lub odczyt dowolnych plików z kontrolera Jenkinsa.
- CVE-2024-23897KrytyczneAktywnie exploitowane
Jenkins w wersjach 2.441 i wcześniejszych oraz LTS 2.426.2 i wcześniejszych nie wyłącza funkcji parsera CLI, która zastępuje znak '@' poprzedzający ścieżkę pliku zawartością tego pliku. Umożliwia to nieuwierzytelnionym atakującym odczyt dowolnych plików w systemie plików kontrolera Jenkins.
Oryginalny opis (angielski, źródło NVD)
In Jenkins 2.579 and earlier, LTS 2.568.2 and earlier, the system log viewer does not escape log record metadata (source, level, and timestamp) resulting in a stored cross-site scripting (XSS) vulnerability exploitable by attackers in control of agent processes.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS