CVE-2026-92133

ŚrednieCVSS 5.4

Opublikowano: 16/09/2026(UTC)Zaktualizowano: 18/09/2026(UTC)Przetłumaczono: 16/09/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.22%

Percentyl 13 - wyżej niż 13% wszystkich znanych CVE

Streszczenie

Wtyczka Jenkins GitLab Plugin w wersji 1.2149.vcfc32c82b_f7f i wcześniejszych buforuje klienta API GitLab zbudowanego dla alternatywnych poświadczeń tokenu API GitLab pod kluczem pamięci podręcznej pochodzącym wyłącznie z identyfikatora poświadczeń, pomijając folder, w którym poświadczenia są rozwiązywane. Umożliwia to atakującym z uprawnieniem Item/Configure dostęp do poświadczeń tokenu API GitLab, do których nie są uprawnieni.

Ocena ryzyka

Atakujący z uprawnieniem Item/Configure może uzyskać dostęp do poświadczeń tokenu API GitLab, do których nie powinien mieć dostępu, co może prowadzić do nieautoryzowanych operacji w GitLabie.

Rekomendacja

Zaktualizuj wtyczkę Jenkins GitLab Plugin do wersji nowszej niż 1.2149.vcfc32c82b_f7f, która uwzględnia folder w kluczu pamięci podręcznej.

Inne podatności w Jenkins GitLab Plugin

CVE-2026-84664Średnie
Wtyczka GitLab dla Jenkinsa w wersji 1.9.16 i wcześniejszych pozwala na nadpisanie globalnej konfiguracji połączenia GitLab przez wiązanie danych Stapler, co umożliwia atakującym połączenie się z adresem URL wskazanym przez atakującego przy użyciu tokenów API GitLab skonfigurowanych wcześniej przez administratorów.

Oryginalny opis (angielski, źródło NVD)

Jenkins GitLab Plugin 1.2149.vcfc32c82b_f7f and earlier caches the GitLab API client built for alternative GitLab API token credentials under a cache key derived from the credentials ID alone, omitting the folder in which the credentials are resolved, allowing attackers with Item/Configure permission to access GitLab API token credentials they are not entitled to use.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS