CVE-2026-92140
ŚrednieCVSS 6.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 34 - wyżej niż 34% wszystkich znanych CVE
Streszczenie
Wtyczka Jenkins Gitee Plugin w wersji 1301.v8957053c7902 i wcześniejszych nie escapuje nazwy nadawcy z ładunków webhooków push Gitee w przyczynach budowania. Prowadzi to do podatności typu stored XSS, którą mogą wykorzystać atakujący mogący wyzwalać budowania przez endpoint webhooka wtyczki.
Ocena ryzyka
Atakujący może wstrzyknąć złośliwy skrypt JavaScript, który zostanie wykonany w przeglądarce użytkownika Jenkinsa przeglądającego przyczyny budowania, co może prowadzić do kradzieży sesji lub innych działań w kontekście ofiary.
Rekomendacja
Zaktualizuj wtyczkę Jenkins Gitee Plugin do wersji nowszej niż 1301.v8957053c7902, która zawiera poprawkę escapowania nazwy nadawcy.
Inne podatności w Jenkins Gitee Plugin
Zobacz wszystkie- CVE-2026-57293Średnie
Wtyczka Gitee w Jenkinsie w wersji 1288.v18b_deb_c9069b_ i wcześniejszych ma błędne sprawdzanie uprawnień, co pozwala atakującym z globalnymi uprawnieniami Item/Configure na enumerację identyfikatorów poświadczeń przechowywanych w Jenkinsie.
- CVE-2026-57292Średnie
Wtyczka Gitee w Jenkinsie w wersji 1288.v18b_deb_c9069b_ i wcześniejszych zawiera podatność typu CSRF, która pozwala atakującym na połączenie z określonym przez nich adresem URL przy użyciu identyfikatorów poświadczeń uzyskanych w inny sposób.
- CVE-2026-57291Średnie
Wtyczka Gitee w Jenkinsie w wersji 1288.v18b_deb_c9069b_ i wcześniejszych ma brakujące kontrole uprawnień, co pozwala atakującym z uprawnieniami Overall/Read na połączenie z URL określonym przez atakującego, używając identyfikatorów poświadczeń uzyskanych inną metodą.
Oryginalny opis (angielski, źródło NVD)
Jenkins Gitee Plugin 1301.v8957053c7902 and earlier does not escape the sender name from Gitee push webhook payloads in build causes, resulting in a stored cross-site scripting (XSS) vulnerability exploitable by attackers able to trigger builds via the Jenkins Gitee Plugin webhook endpoint.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS