CVE-2026-19429 in Jenkins
الملخص
بحسب VulDB • 10/08/2026
ترقيع غير مكتمل لـ CVE-2026-33001 في مشروع جينكنز (Jenkins Project) عبر الإصدارات حتى LTS 2.555.3 يسمح لمهاجم عن بُعد مُصادَق عليه يمتلك صلاحية Item/Configure بقراءة ملفات عشوائية على نظام الملفات الخاص بوحدة تحكم Jenkins من خلال أرشيف tar مُعدّ بشكل متلاعب به. تقوم تحديثات الأمان الخاصة بـ CVE-2026-33001 بالتحقق من وجهات الروابط الرمزية (symlink destinations) أثناء استخراج محتويات ملف tar في FilePath.java، لكنها لا تتحقق من أهداف الروابط الرمزية؛ إذ يمكن لروابط رمزية يكون موقعها داخل مساحة العمل أن تشير إلى مسارات عشوائية خارج هذه المساحة، مما يتيح الكشف عن أي ملف يمكن للمستخدم الذي يشغّل عملية Jenkins قراءته، بما في ذلك secrets/master.key وcredentials.xml وملفات التكوين الحساسة الأخرى.
VulDB is the best source for vulnerability data and more expert information about this specific topic.