Zaloguj się
Deutsch English Español Polski
Średnia

Improper permission checks allow canceling queue items and aborting builds in Jenkins

  • Ujawniono: 24.05.2022
  • Aktualizacja: 11.10.2026 11:22

Jenkins 2.299 and earlier, LTS 2.289.1 and earlier allows users to cancel queue items and abort builds of jobs for which they have Item/Cancel permission even when they do not have Item/Read permission.

Jenkins 2.300, LTS 2.289.2 requires that users have Item/Read permission for applicable types in addition to Item/Cancel permission.

As a workaround on earlier versions of Jenkins, do not grant Item/Cancel permission to users who do not have Item/Read permission.

Czego dotyczy

Kliknij technologię, aby zobaczyć wszystkie dotyczące jej podatności.

PlatformaPaczkaPodatne wersjePoprawka w wersji
Java / Kotlin (Maven) org.jenkins-ci.main:jenkins-core < 2.289.2, >= 2.292, < 2.300 2.289.2, 2.300

Odnośniki

Ocena CVSS 4.3/10
Wektor CVSS
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:L/A:N
Słabość (CWE)
CWE-863
Platforma
Java / Kotlin (Maven)
Paczka
org.jenkins-ci.main:jenkins-core
Ujawniono
24.05.2022
Aktualizacja
11.10.2026 11:22

Źródła i licencje

OSV / GitHub Advisory Database - GHSA-q4wp-8c99-69pw - CC BY 4.0

Historia podatności: org.jenkins-ci.main:jenkins-core

Wszystkie opisane podatności tej paczki (Java / Kotlin (Maven)), od najnowszej. Widać, czy to jednorazowa wpadka, czy paczka, której trzeba pilnować.

Wszystkie (259) w archiwum
Wszystkich wpisów
259
Pierwsza → ostatnia
01.2022 06.2026
Bez poprawki
1
Wykorzystywana w atakach
4

Rozkład istotności

  • Krytyczna 19
  • Wysoka 62
  • Średnia 158
  • Niska 20

Ujawnienia w latach

Istotność:
  1. Improper permission checks allow canceling queue items and aborting builds in Jenkins ten wpis
    Średnia · 4.3 CVE-2021-21670 < 2.289.2, >= 2.292, < 2.300 2.289.2, 2.300
  2. Jenkins arbitrary type deserialization from attacker-controlled config.xml allows remote code execution and user impersonation
    Wysoka · 8.8 CVE-2026-53435 < 2.555.3, >= 2.556, < 2.568 2.555.3, 2.568
  3. Jenkins: Stored XSS vulnerability in node offline cause description
    Wysoka · 8.0 CVE-2026-53441 >= 2.483, < 2.568 2.568
  4. Jenkins has a link following vulnerability allows arbitrary file creation
    Wysoka · 8.8 CVE-2026-33001 < 2.555 2.555
  5. Jenkins has a DNS rebinding vulnerability in WebSocket CLI origin validation
    Wysoka · 7.5 CVE-2026-33002 >= 2.442, < 2.555 2.555
  6. Jenkins has a stored XSS vulnerability in node offline cause description
    Wysoka · 8.0 CVE-2026-27099 >= 2.542, < 2.551, >= 2.483, < 2.541.2 2.551, 2.541.2
  7. Jenkins has a Denial of service vulnerability in HTTP-based CLI
    Wysoka · 7.5 CVE-2025-67635 >= 2.529, < 2.541, < 2.528.3 2.541, 2.528.3
  8. Jenkins Remoting library arbitrary file read vulnerability
    Wysoka · 9.0 CVE-2024-43044 < 2.452.4, >= 2.460, < 2.462.1, >= 2.470, < 2.471 2.452.4, 2.462.1, 2.471
  9. Arbitrary file read vulnerability through the Jenkins CLI can lead to RCE
    Krytyczna · 9.8 Wykorzystywana w atakach CVE-2024-23897 >= 1.606, < 2.426.3, >= 2.427, < 2.440.1, >= 2.441, < 2.442 2.426.3, 2.440.1, 2.442
  10. Cross-site WebSocket hijacking vulnerability in the Jenkins CLI
    Wysoka · 8.8 CVE-2024-23898 >= 2.217, < 2.426.3, >= 2.427, < 2.442, = 2.441 2.426.3, 2.442
  11. Jenkins temporary plugin file created with insecure permissions
    Wysoka · 7.0 CVE-2023-43496 >= 2.50, < 2.414.2, >= 2.415, < 2.424 2.414.2, 2.424
  12. Jenkins Cross-site Scripting vulnerability
    Wysoka · 8.0 CVE-2023-43495 >= 2.50, < 2.414.2, >= 2.415, < 2.424 2.414.2, 2.424
  13. Jenkins Stored Cross-site Scripting vulnerability
    Wysoka · 8.0 CVE-2023-39151 >= 2.402, < 2.414.1, < 2.401.3, >= 2.415, < 2.416 2.414.1, 2.401.3, 2.416
  14. Jenkins CSRF protection bypass vulnerability
    Wysoka · 8.0 CVE-2023-35141 < 2.400 2.400
  15. Cross-site Scripting vulnerability in Jenkins
    Wysoka · 8.8 CVE-2023-27898 >= 2.376, < 2.394, < 2.375.4 2.394, 2.375.4
  16. Incorrect Authorization in Jenkins Core
    Wysoka · 7.0 CVE-2023-27899 >= 2.376, < 2.387.1, < 2.375.4, >= 2.388, < 2.394 2.387.1, 2.375.4, 2.394
  17. Denial of service in Jenkins Core
    Wysoka · 7.5 CVE-2023-27901 >= 2.388, < 2.394, < 2.375.4, >= 2.376, < 2.387.1 2.394, 2.375.4, 2.387.1
  18. Jenkins vulnerable to stored cross site scripting in the I:helpIcon component
    Wysoka · 8.0 CVE-2022-41224 >= 2.367, < 2.370 2.370
  19. Cross-site Scripting vulnerability in Jenkins
    Wysoka · 8.0 CVE-2022-34170 >= 2.350, < 2.356, >= 2.320, < 2.332.4, >= 2.346, < 2.346.1 2.356, 2.332.4, 2.346.1
  20. Unauthorized view fragment access in Jenkins
    Wysoka · 7.5 CVE-2022-34175 >= 2.335, < 2.356 2.356
  21. Cross-site Scripting vulnerability in Jenkins
    Wysoka · 8.0 CVE-2022-34173 >= 2.340, < 2.356 2.356
Pokaż więcej (20) Widać 21 z 82

Dowiedz się, które podatności dotyczą Twojej aplikacji

Po podłączeniu integracji DockRay i włączeniu raportowania oprogramowania DockRay porównuje zgłoszone wersje komponentów ze znanymi podatnościami i powiadamia o potwierdzonych dopasowaniach. Zakres zależy od obsługiwanej technologii i dostępnych biuletynów.

Podłącz swoją aplikację
Newsletter DockRay

Bezpieczeństwo aplikacji w Twojej skrzynce

Najważniejsze podatności, konkretne zalecenia i praktyczne wskazówki dla Twoich aplikacji. Wybierz technologie i śledź to, co ma znaczenie dla Twojego projektu.

  • Codzienne zestawienie nowych podatności, także krytycznych.
  • Powiadomienia o ważnych aktualizacjach.
  • Praktyczne porady o bezpieczeństwie i monitoringu aplikacji.

Pozostaw puste, aby otrzymywać informacje o wszystkich technologiach.

Polityka prywatności

Zapis jest bezpłatny. Wypiszesz się jednym kliknięciem w wiadomości.