Zaloguj się
Deutsch English Español Polski
Średnia

Jenkins Missing Permission Check

  • Ujawniono: 02.04.2025
  • Aktualizacja: 11.10.2026 12:22

Jenkins 2.503 and earlier, LTS 2.492.2 and earlier does not perform a permission check in an HTTP endpoint.

This allows attackers with Computer/Create permission but without Computer/Configure permission to copy an agent, gaining access to encrypted secrets in its configuration.

This is due to an incomplete fix of SECURITY-3495/CVE-2025-27622.

Jenkins 2.504, LTS 2.492.3 requires Computer/Configure permission to copy an agent containing secrets.

Czego dotyczy

Kliknij technologię, aby zobaczyć wszystkie dotyczące jej podatności.

PlatformaPaczkaPodatne wersjePoprawka w wersji
Java / Kotlin (Maven) org.jenkins-ci.main:jenkins-core >= 2.500, < 2.504, < 2.492.3 2.504, 2.492.3

Odnośniki

Ocena CVSS 4.3/10
Wektor CVSS
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:N/A:N
Słabość (CWE)
CWE-862
Platforma
Java / Kotlin (Maven)
Paczka
org.jenkins-ci.main:jenkins-core
Ujawniono
02.04.2025
Aktualizacja
11.10.2026 12:22

Źródła i licencje

OSV / GitHub Advisory Database - GHSA-wr6w-jxg7-qpfh - CC BY 4.0

Historia podatności: org.jenkins-ci.main:jenkins-core

Wszystkie opisane podatności tej paczki (Java / Kotlin (Maven)), od najnowszej. Widać, czy to jednorazowa wpadka, czy paczka, której trzeba pilnować.

Wszystkie (259) w archiwum
Wszystkich wpisów
259
Pierwsza → ostatnia
01.2022 06.2026
Bez poprawki
1
Wykorzystywana w atakach
4

Rozkład istotności

  • Krytyczna 19
  • Wysoka 62
  • Średnia 158
  • Niska 20

Ujawnienia w latach

Istotność:
  1. Jenkins arbitrary type deserialization from attacker-controlled config.xml allows remote code execution and user impersonation
    Wysoka · 8.8 CVE-2026-53435 < 2.555.3, >= 2.556, < 2.568 2.555.3, 2.568
  2. Jenkins: Stored XSS vulnerability in node offline cause description
    Wysoka · 8.0 CVE-2026-53441 >= 2.483, < 2.568 2.568
  3. Jenkins has a link following vulnerability allows arbitrary file creation
    Wysoka · 8.8 CVE-2026-33001 < 2.555 2.555
  4. Jenkins has a DNS rebinding vulnerability in WebSocket CLI origin validation
    Wysoka · 7.5 CVE-2026-33002 >= 2.442, < 2.555 2.555
  5. Jenkins has a stored XSS vulnerability in node offline cause description
    Wysoka · 8.0 CVE-2026-27099 >= 2.542, < 2.551, >= 2.483, < 2.541.2 2.551, 2.541.2
  6. Jenkins has a Denial of service vulnerability in HTTP-based CLI
    Wysoka · 7.5 CVE-2025-67635 >= 2.529, < 2.541, < 2.528.3 2.541, 2.528.3
  7. Jenkins Missing Permission Check ten wpis
    Średnia · 4.3 CVE-2025-31721 >= 2.500, < 2.504, < 2.492.3 2.504, 2.492.3
  8. Jenkins Remoting library arbitrary file read vulnerability
    Wysoka · 9.0 CVE-2024-43044 < 2.452.4, >= 2.460, < 2.462.1, >= 2.470, < 2.471 2.452.4, 2.462.1, 2.471
  9. Arbitrary file read vulnerability through the Jenkins CLI can lead to RCE
    Krytyczna · 9.8 Wykorzystywana w atakach CVE-2024-23897 >= 1.606, < 2.426.3, >= 2.427, < 2.440.1, >= 2.441, < 2.442 2.426.3, 2.440.1, 2.442
  10. Cross-site WebSocket hijacking vulnerability in the Jenkins CLI
    Wysoka · 8.8 CVE-2024-23898 >= 2.217, < 2.426.3, >= 2.427, < 2.442, = 2.441 2.426.3, 2.442
  11. Jenkins temporary plugin file created with insecure permissions
    Wysoka · 7.0 CVE-2023-43496 >= 2.50, < 2.414.2, >= 2.415, < 2.424 2.414.2, 2.424
  12. Jenkins Cross-site Scripting vulnerability
    Wysoka · 8.0 CVE-2023-43495 >= 2.50, < 2.414.2, >= 2.415, < 2.424 2.414.2, 2.424
  13. Jenkins Stored Cross-site Scripting vulnerability
    Wysoka · 8.0 CVE-2023-39151 >= 2.402, < 2.414.1, < 2.401.3, >= 2.415, < 2.416 2.414.1, 2.401.3, 2.416
  14. Jenkins CSRF protection bypass vulnerability
    Wysoka · 8.0 CVE-2023-35141 < 2.400 2.400
  15. Cross-site Scripting vulnerability in Jenkins
    Wysoka · 8.8 CVE-2023-27898 >= 2.376, < 2.394, < 2.375.4 2.394, 2.375.4
  16. Incorrect Authorization in Jenkins Core
    Wysoka · 7.0 CVE-2023-27899 >= 2.376, < 2.387.1, < 2.375.4, >= 2.388, < 2.394 2.387.1, 2.375.4, 2.394
  17. Denial of service in Jenkins Core
    Wysoka · 7.5 CVE-2023-27901 >= 2.388, < 2.394, < 2.375.4, >= 2.376, < 2.387.1 2.394, 2.375.4, 2.387.1
  18. Jenkins vulnerable to stored cross site scripting in the I:helpIcon component
    Wysoka · 8.0 CVE-2022-41224 >= 2.367, < 2.370 2.370
  19. Cross-site Scripting vulnerability in Jenkins
    Wysoka · 8.0 CVE-2022-34170 >= 2.350, < 2.356, >= 2.320, < 2.332.4, >= 2.346, < 2.346.1 2.356, 2.332.4, 2.346.1
  20. Unauthorized view fragment access in Jenkins
    Wysoka · 7.5 CVE-2022-34175 >= 2.335, < 2.356 2.356
Pokaż więcej (20) Widać 20 z 82

Dowiedz się, które podatności dotyczą Twojej aplikacji

Po podłączeniu integracji DockRay i włączeniu raportowania oprogramowania DockRay porównuje zgłoszone wersje komponentów ze znanymi podatnościami i powiadamia o potwierdzonych dopasowaniach. Zakres zależy od obsługiwanej technologii i dostępnych biuletynów.

Podłącz swoją aplikację
Newsletter DockRay

Bezpieczeństwo aplikacji w Twojej skrzynce

Najważniejsze podatności, konkretne zalecenia i praktyczne wskazówki dla Twoich aplikacji. Wybierz technologie i śledź to, co ma znaczenie dla Twojego projektu.

  • Codzienne zestawienie nowych podatności, także krytycznych.
  • Powiadomienia o ważnych aktualizacjach.
  • Praktyczne porady o bezpieczeństwie i monitoringu aplikacji.

Pozostaw puste, aby otrzymywać informacje o wszystkich technologiach.

Polityka prywatności

Zapis jest bezpłatny. Wypiszesz się jednym kliknięciem w wiadomości.