CVE-2026-84664

ŚrednieCVSS 5.4

Opublikowano: 02/09/2026(UTC)Zaktualizowano: 03/09/2026(UTC)Przetłumaczono: 02/09/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.10%

Percentyl 1 - wyżej niż 1% wszystkich znanych CVE

Streszczenie

Wtyczka GitLab dla Jenkinsa w wersji 1.9.16 i wcześniejszych pozwala na nadpisanie globalnej konfiguracji połączenia GitLab przez wiązanie danych Stapler, co umożliwia atakującym połączenie się z adresem URL wskazanym przez atakującego przy użyciu tokenów API GitLab skonfigurowanych wcześniej przez administratorów.

Ocena ryzyka

Atakujący może przejąć kontrolę nad połączeniem GitLab, co może prowadzić do wycieku poufnych danych, manipulacji repozytoriami lub innych nieautoryzowanych działań w środowisku GitLab.

Rekomendacja

Zaktualizuj wtyczkę GitLab do wersji, która naprawia tę podatność. Ogranicz dostęp do konfiguracji globalnej i monitoruj zmiany w konfiguracji połączeń.

Inne podatności w Jenkins GitLab Plugin

CVE-2026-92133Średnie
Wtyczka Jenkins GitLab Plugin w wersji 1.2149.vcfc32c82b_f7f i wcześniejszych buforuje klienta API GitLab zbudowanego dla alternatywnych poświadczeń tokenu API GitLab pod kluczem pamięci podręcznej pochodzącym wyłącznie z identyfikatora poświadczeń, pomijając folder, w którym poświadczenia są rozwiązywane. Umożliwia to atakującym z uprawnieniem Item/Configure dostęp do poświadczeń tokenu API GitLab, do których nie są uprawnieni.

Oryginalny opis (angielski, źródło NVD)

Jenkins GitLab Plugin 1.9.16 and earlier allows overwriting the global GitLab connection configuration through Stapler data binding, allowing attackers to connect to an attacker-specified URL using GitLab API tokens already configured by administrators.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS