CVE-2026-70438

ŚrednieCVSS 4.3

Opublikowano: 05/08/2026(UTC)Zaktualizowano: 24/10/2026(UTC)Przetłumaczono: 06/08/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.27%

Percentyl 19 - wyżej niż 19% wszystkich znanych CVE

Streszczenie

Brak kontroli uprawnień w Jenkins Parameterized Remote Trigger Plugin 3.2.2 i wcześniejszych pozwala atakującym z uprawnieniem Overall/Read na wyliczenie identyfikatorów poświadczeń przechowywanych w Jenkinsie.

Ocena ryzyka

Ujawnienie identyfikatorów poświadczeń może ułatwić atakującemu dalsze ataki, w tym kradzież poświadczeń.

Rekomendacja

Zaktualizuj wtyczkę do wersji z poprawką, jeśli dostępna, oraz ogranicz uprawnienia Overall/Read.

Inne podatności w Jenkins Parameterized Remote Trigger Plugin

CVE-2026-84676Średnie
Jenkins Parameterized Remote Trigger Plugin 3.2.2 i wcześniejsze przechowuje tokeny niezaszyfrowane w plikach config.xml zadań na kontrolerze Jenkinsa, gdzie mogą być widoczne dla użytkowników z uprawnieniami Item/Extended Read lub mających dostęp do systemu plików kontrolera.

Oryginalny opis (angielski, źródło NVD)

A missing permission check in Jenkins Parameterized Remote Trigger Plugin 3.2.2 and earlier allows attackers with Overall/Read permission to enumerate credentials IDs of credentials stored in Jenkins.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS