CVE-2026-92132

ŚrednieCVSS 5.4

Opublikowano: 16/09/2026(UTC)Zaktualizowano: 18/09/2026(UTC)Przetłumaczono: 16/09/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.24%

Percentyl 16 - wyżej niż 16% wszystkich znanych CVE

Streszczenie

Wtyczka Jenkins Gradle Plugin w wersji 2.19.1252.v15196b_5a_6e10 i wcześniejszych żąda danych skanowania kompilacji z linku do skanowania kompilacji wykrytego w dzienniku kompilacji, nawet gdy w konfiguracji globalnej skonfigurowano URL serwera Develocity. Umożliwia to atakującym mogącym kontrolować dziennik kompilacji przechwycenie klucza dostępu Develocity skonfigurowanego w konfiguracji globalnej poprzez zmuszenie Jenkinsa do połączenia się z URL-em określonym przez atakującego.

Ocena ryzyka

Atakujący mogący kontrolować dziennik kompilacji może przechwycić klucz dostępu Develocity, co może prowadzić do nieautoryzowanego dostępu do serwera Develocity.

Rekomendacja

Zaktualizuj wtyczkę Jenkins Gradle Plugin do wersji nowszej niż 2.19.1252.v15196b_5a_6e10, która używa skonfigurowanego URL-a serwera Develocity zamiast linku z dziennika kompilacji.

Inne podatności w Jenkins Gradle Plugin

CVE-2023-39152Średnie
Wtyczka Gradle dla Jenkins w wersji 2.8 ma zawsze niepoprawną implementację kontroli przepływu, co może prowadzić do sytuacji, w której dane uwierzytelniające nie są maskowane (tj. nie są zastępowane gwiazdkami) w logach budowy w niektórych okolicznościach.

Oryginalny opis (angielski, źródło NVD)

Jenkins Gradle Plugin 2.19.1252.v15196b_5a_6e10 and earlier requests build scan data from the build scan link detected in the build log, even when a Develocity server URL is configured in the global configuration, allowing attackers able to control the build log to capture the Develocity access key configured in the global configuration by having Jenkins connect to an attacker-specified URL.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS