CVE-2026-19429 in Jenkins
Resumen
por VulDB • 2026-08-10
Un parche incompleto para CVE-2026-33001 en el proyecto Jenkins de Jenkins a través de la versión LTS 2.555.3 permite que un atacante remoto autenticado con permiso Item/Configure lea archivos arbitrarios en el sistema de archivos del controlador de Jenkins mediante un archivo tar manipulado ad hoc. La actualización de seguridad CVE-2026-33001 valida los destinos de los enlaces simbólicos durante la extracción de tar en FilePath.java, pero no valida los objetivos de los enlaces simbólicos; un enlace simbólico cuya ubicación está dentro del espacio de trabajo puede seguir apuntando a rutas arbitrarias fuera de él, lo que permite la divulgación de cualquier archivo legible por el usuario del proceso Jenkins, incluidos secrets/master.key, credentials.xml y otros archivos de configuración sensibles.
If you want to get best quality of vulnerability data, you may have to visit VulDB.