Iniciar sesión
Deutsch English Español Polski
Media

Jenkins Diagnostic page exposed session cookies

  • Publicada: 24.05.2022
  • Actualizado: 11.10.2026 11:21

Jenkins shows various technical details about the current user on the /whoAmI page. In a previous fix, the Cookie header value containing the HTTP session ID was redacted. However, user metadata shown on this page could also include the HTTP session ID in Jenkins 2.218 and earlier, LTS 2.204.1 and earlier.

This allows attackers able to exploit a cross-site scripting vulnerability to obtain the HTTP session ID value from this page.

Jenkins 2.219, LTS 2.204.2 no longer prints out the affected user metadata that might contain the HTTP session ID.

Additionally, we also redact values of further authentication-related HTTP headers in addition to Cookie on this page as a hardening.

Software afectado

Haz clic en una tecnología para ver todas sus vulnerabilidades.

PlataformaPaqueteVersiones vulnerablesCorregida en
Java / Kotlin (Maven) org.jenkins-ci.main:jenkins-core >= 2.205, < 2.219, < 2.204.2 2.219, 2.204.2

Referencias

Puntuación CVSS 5.4/10
Vector CVSS
CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N
Debilidad (CWE)
CWE-200
Plataforma
Java / Kotlin (Maven)
Paquete
org.jenkins-ci.main:jenkins-core
Publicada
24.05.2022
Actualizado
11.10.2026 11:21

Fuentes y licencias

OSV / GitHub Advisory Database - GHSA-4jjj-cm7q-v6hr - CC BY 4.0

Historial de vulnerabilidades: org.jenkins-ci.main:jenkins-core

Todas las vulnerabilidades publicadas de este paquete (Java / Kotlin (Maven)), de la más reciente a la más antigua. Muestra si es un fallo aislado o un paquete que hay que vigilar.

Todas (259) en el archivo
Entradas en total
259
Primera → última
01.2022 06.2026
Sin corrección
1
Explotada en ataques
4

Distribución por gravedad

  • Crítica 19
  • Alta 62
  • Media 158
  • Baja 20

Divulgaciones por año

Gravedad:
  1. Jenkins Diagnostic page exposed session cookies esta entrada
    Media · 5.4 CVE-2020-2103 >= 2.205, < 2.219, < 2.204.2 2.219, 2.204.2
  2. Jenkins arbitrary type deserialization from attacker-controlled config.xml allows remote code execution and user impersonation
    Alta · 8.8 CVE-2026-53435 < 2.555.3, >= 2.556, < 2.568 2.555.3, 2.568
  3. Jenkins: Stored XSS vulnerability in node offline cause description
    Alta · 8.0 CVE-2026-53441 >= 2.483, < 2.568 2.568
  4. Jenkins has a link following vulnerability allows arbitrary file creation
    Alta · 8.8 CVE-2026-33001 < 2.555 2.555
  5. Jenkins has a DNS rebinding vulnerability in WebSocket CLI origin validation
    Alta · 7.5 CVE-2026-33002 >= 2.442, < 2.555 2.555
  6. Jenkins has a stored XSS vulnerability in node offline cause description
    Alta · 8.0 CVE-2026-27099 >= 2.542, < 2.551, >= 2.483, < 2.541.2 2.551, 2.541.2
  7. Jenkins has a Denial of service vulnerability in HTTP-based CLI
    Alta · 7.5 CVE-2025-67635 >= 2.529, < 2.541, < 2.528.3 2.541, 2.528.3
  8. Jenkins Remoting library arbitrary file read vulnerability
    Alta · 9.0 CVE-2024-43044 < 2.452.4, >= 2.460, < 2.462.1, >= 2.470, < 2.471 2.452.4, 2.462.1, 2.471
  9. Arbitrary file read vulnerability through the Jenkins CLI can lead to RCE
    Crítica · 9.8 Explotada en ataques CVE-2024-23897 >= 1.606, < 2.426.3, >= 2.427, < 2.440.1, >= 2.441, < 2.442 2.426.3, 2.440.1, 2.442
  10. Cross-site WebSocket hijacking vulnerability in the Jenkins CLI
    Alta · 8.8 CVE-2024-23898 >= 2.217, < 2.426.3, >= 2.427, < 2.442, = 2.441 2.426.3, 2.442
  11. Jenkins temporary plugin file created with insecure permissions
    Alta · 7.0 CVE-2023-43496 >= 2.50, < 2.414.2, >= 2.415, < 2.424 2.414.2, 2.424
  12. Jenkins Cross-site Scripting vulnerability
    Alta · 8.0 CVE-2023-43495 >= 2.50, < 2.414.2, >= 2.415, < 2.424 2.414.2, 2.424
  13. Jenkins Stored Cross-site Scripting vulnerability
    Alta · 8.0 CVE-2023-39151 >= 2.402, < 2.414.1, < 2.401.3, >= 2.415, < 2.416 2.414.1, 2.401.3, 2.416
  14. Jenkins CSRF protection bypass vulnerability
    Alta · 8.0 CVE-2023-35141 < 2.400 2.400
  15. Cross-site Scripting vulnerability in Jenkins
    Alta · 8.8 CVE-2023-27898 >= 2.376, < 2.394, < 2.375.4 2.394, 2.375.4
  16. Incorrect Authorization in Jenkins Core
    Alta · 7.0 CVE-2023-27899 >= 2.376, < 2.387.1, < 2.375.4, >= 2.388, < 2.394 2.387.1, 2.375.4, 2.394
  17. Denial of service in Jenkins Core
    Alta · 7.5 CVE-2023-27901 >= 2.388, < 2.394, < 2.375.4, >= 2.376, < 2.387.1 2.394, 2.375.4, 2.387.1
  18. Jenkins vulnerable to stored cross site scripting in the I:helpIcon component
    Alta · 8.0 CVE-2022-41224 >= 2.367, < 2.370 2.370
  19. Cross-site Scripting vulnerability in Jenkins
    Alta · 8.0 CVE-2022-34170 >= 2.350, < 2.356, >= 2.320, < 2.332.4, >= 2.346, < 2.346.1 2.356, 2.332.4, 2.346.1
  20. Unauthorized view fragment access in Jenkins
    Alta · 7.5 CVE-2022-34175 >= 2.335, < 2.356 2.356
  21. Cross-site Scripting vulnerability in Jenkins
    Alta · 8.0 CVE-2022-34173 >= 2.340, < 2.356 2.356
Mostrar más (20) Mostrando 21 de 82

Identifica las vulnerabilidades de tu aplicación

Con la integración de DockRay y el inventario de software activado, DockRay compara las versiones notificadas de los componentes con las vulnerabilidades conocidas y avisa de las coincidencias confirmadas. La cobertura depende de la tecnología compatible y de los avisos disponibles.

Conectar tu aplicación
Newsletter DockRay

La seguridad de tus aplicaciones en tu correo

Vulnerabilidades importantes, recomendaciones concretas y consejos prácticos para tus aplicaciones. Elige tus tecnologías y sigue lo que importa para tu proyecto.

  • Un resumen diario de nuevas vulnerabilidades, también las críticas.
  • Avisos sobre actualizaciones importantes.
  • Consejos prácticos sobre seguridad y monitorización de aplicaciones.

Déjalo vacío para recibir avisos de todas las tecnologías.

Política de privacidad

Suscripción gratuita. Date de baja con un clic en cualquier correo.