CVE-2026-104126
ŚrednieCVSS 6.0Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 30 - wyżej niż 30% wszystkich znanych CVE
Streszczenie
W JumpServer przed wersją 4.10.17-lts renderowanie automatyzacji opartej na Ansible może ewaluować wyrażenia szablonów kontrolowane przez użytkowników mających uprawnienia do tworzenia lub uruchamiania zadań automatyzacji. Spreparowana treść może wywołać wrażliwe mechanizmy lookup Ansible (file, pipe, env, password), ujawniając pliki lub zmienne środowiskowe i potencjalnie pozwalając na ograniczone wykonanie poleceń.
Ocena ryzyka
Uwierzytelniony użytkownik z uprawnieniami do automatyzacji może ujawnić pliki lub zmienne środowiskowe, a w niektórych przypadkach wykonać ograniczone polecenia w kontekście procesu automatyzacji.
Rekomendacja
Zaktualizuj JumpServer do wersji 4.10.17-lts lub nowszej oraz ogranicz uprawnienia do tworzenia i uruchamiania zadań automatyzacji.
Inne podatności w JumpServer
Zobacz wszystkie- CVE-2025-62712Krytyczne
JumpServer w wersjach przed v3.10.20-lts i v4.10.11-lts pozwala uwierzytelnionemu, nieuprzywilejowanemu użytkownikowi pobrać tokeny połączeń innych użytkowników przez endpoint API super-connection. Endpoint zwraca tokeny utworzone przez wszystkich użytkowników zamiast ograniczać wyniki do tokenów należących do żądającego. Problem naprawiono w wersjach v3.10.20-lts i v4.10.11-lts.
- CVE-2023-48193Krytyczne
Podatność w JumpServer GPLv3 v.3.8.0 umożliwia zdalnemu atakującemu ominięcie filtrowania poleceń i wykonanie dowolnego kodu. Należy jednak zaznaczyć, że producent kwestionuje tę podatność, argumentując, że filtrowanie poleceń nie ma na celu ograniczania uprawnionych użytkowników.
- CVE-2026-112159Średnie
W JumpServer do wersji 4.10.19 wykryto lukę w nieznanej funkcji komponentu Template Rendering; manipulacja argumentem IP/HOST prowadzi do wstrzyknięcia poleceń systemu operacyjnego. Zdalne wykorzystanie jest możliwe, a exploit został publicznie ujawniony; aktualizacja do wersji 5.0.0 usuwa problem (patch fcf2904cdb884230e9676f50f37a44d09fa97040), a producent potwierdza poprawkę również w nadchodzącym wydaniu v4.
- CVE-2026-54336Średnie
JumpServer to open source'owy bastion host i system audytu bezpieczeństwa operacyjnego. Od wersji 4.8.0 do 4.10.17, uwierzytelniony użytkownik z uprawnieniami SFTP do autoryzowanego zasobu może przesłać spreparowane ścieżki traversal przez funkcję SFTP w KoKo Web Terminal, co powoduje, że AssetDir.GetRealPath() w pkg/srvconn/sftp_asset.go rozwiązuje ścieżki poza zamierzonym katalogiem głównym SFTP i umożliwia odczyt, listowanie, zapis, zmianę nazwy lub usunięcie operacji na skonfigurowanym koncie backendowym na tym zasobie. Problem naprawiono w wersji 4.10.17.
- CVE-2026-44846Średnie
JumpServer to open source'owy bastion host i system audytu bezpieczeństwa operacyjnego. Przed wersją 4.10.17, użytkownik z uprawnieniem users.invite_user może przesłać istniejącego członka do POST /api/v1/users/users/invite/, co powoduje, że logika zaproszenia organizacji w apps/users/api/user.py wykonuje user.org_roles.set(org_roles) i zastępuje istniejące role organizacyjne członka, co może eskalować uprawnienia lub degradować administratorów. Problem naprawiono w wersji 4.10.17.
- CVE-2026-44845Średnie
JumpServer to open source'owy bastion host i system audytu bezpieczeństwa operacyjnego. Przed wersją 4.10.17, uwierzytelniony administrator z uprawnieniami zarządzania i wdrażania Applet Host może wstrzyknąć wyrażenia Jinja2 do pola IP/Host lub pola adresu usługi Core, co powoduje, że Ansible ocenia dane inventory ansible_host lub zmienne playbooka podczas wdrażania Applet Host i wykonuje dowolne polecenia na węźle kontrolnym JumpServer. Problem naprawiono w wersji 4.10.17.
- CVE-2025-58044Średnie
JumpServer to open source bastion host oraz system audytu bezpieczeństwa operacji i utrzymania. W wersjach przed v3.10.19 i v4.10.5 endpoint /core/i18n// używa nagłówka Referer jako celu przekierowania bez odpowiedniej walidacji, co może prowadzić do podatności Open Redirect. Podatność naprawiono w wersjach v3.10.19 i v4.10.5.
- CVE-2025-62795Wysokie
JumpServer to open-source'owy bastion host. W wersjach przed v3.10.21-lts i v4.10.12-lts użytkownik z niskimi uprawnieniami może wywołać testy konfiguracji LDAP i rozpocząć synchronizację LDAP, wysyłając spreparowane wiadomości do endpointu WebSocket /ws/ldap/, omijając kontrole autoryzacji.
Oryginalny opis (angielski, źródło NVD)
JumpServer is an open source bastion host and an operation and maintenance security audit system. Prior to 4.10.17-lts, JumpServer's Ansible-based automation rendering can evaluate attacker-controlled template expressions from users who have permission to create or execute affected automation tasks. Crafted content can invoke sensitive Ansible lookup behavior, including file, pipe, env, and password lookups, within the Ansible execution context, which can disclose files or environment values and may permit limited command execution under the privileges of the automation process. The issue does not provide unauthenticated access or direct access to unrelated JumpServer assets. This issue is fixed in version 4.10.17-lts.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS