CVE-2026-84676

ŚrednieCVSS 4.3

Opublikowano: 02/09/2026(UTC)Zaktualizowano: 03/09/2026(UTC)Przetłumaczono: 02/09/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.12%

Percentyl 2 - wyżej niż 2% wszystkich znanych CVE

Streszczenie

Jenkins Parameterized Remote Trigger Plugin 3.2.2 i wcześniejsze przechowuje tokeny niezaszyfrowane w plikach config.xml zadań na kontrolerze Jenkinsa, gdzie mogą być widoczne dla użytkowników z uprawnieniami Item/Extended Read lub mających dostęp do systemu plików kontrolera.

Ocena ryzyka

Osoby z odpowiednimi uprawnieniami mogą uzyskać dostęp do wrażliwych tokenów, co może prowadzić do nieautoryzowanego dostępu do zdalnych systemów lub naruszenia bezpieczeństwa.

Rekomendacja

Zaktualizuj Jenkins Parameterized Remote Trigger Plugin do wersji, która szyfruje tokeny, oraz ogranicz dostęp do plików config.xml i uprawnień Item/Extended Read.

Inne podatności w Jenkins Parameterized Remote Trigger Plugin

CVE-2026-70438Średnie
Brak kontroli uprawnień w Jenkins Parameterized Remote Trigger Plugin 3.2.2 i wcześniejszych pozwala atakującym z uprawnieniem Overall/Read na wyliczenie identyfikatorów poświadczeń przechowywanych w Jenkinsie.

Oryginalny opis (angielski, źródło NVD)

Jenkins Parameterized Remote Trigger Plugin 3.2.2 and earlier stores tokens unencrypted in job config.xml files on the Jenkins controller where they can be viewed by users with Item/Extended Read permission or access to the Jenkins controller file system.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS