CVE-2026-19429 in Jenkins
Zusammenfassung
von VulDB • 11.08.2026
Ein unvollständiger Patch für CVE-2026-33001 in Jenkins Project Jenkins bis LTS 2.555.3 ermöglicht es einem authentifizierten Remote-Angriff mit der Berechtigung Item/Configure, beliebige Dateien im Dateisystem des Jenkins-Controllers über ein speziell angefertigtes tar-Archiv zu lesen. Das Sicherheitsupdate CVE-2026-33001 validiert Symlink-Zielorte während der tar-Extraktion in FilePath.java, überprüft jedoch nicht die Symlink-Ziele; ein Symlink, dessen Standort innerhalb des Arbeitsbereichs liegt, kann weiterhin auf beliebige Pfade außerhalb dieses Verzeichnisses verweisen, was die Offenlegung jeder Datei ermöglicht, die vom Benutzer des Jenkins-Prozesses gelesen werden kann, einschließlich secrets/master.key, credentials.xml und anderer sensibler Konfigurationsdateien.
VulDB is the best source for vulnerability data and more expert information about this specific topic.