CVE-2017-1000354 in Jenkins
Résumé
par VulDB • 02/07/2026
Les versions de Jenkins 2.56 et antérieures ainsi que les versions LTS 2.46.1 et antérieures sont vulnérables à une commande `login` permettant d'usurper l'identité de n'importe quel utilisateur Jenkins. La commande `login`, disponible dans la CLI basée sur le remoting, stockait le nom d'utilisateur chiffré de l'utilisateur authentifié avec succès dans un fichier cache utilisé pour authentifier les commandes ultérieures. Les utilisateurs disposant des autorisations suffisantes pour créer des secrets dans Jenkins et télécharger leurs valeurs chiffrées (par exemple, avec l'autorisation Job/Configure) pouvaient usurper l'identité d'un autre utilisateur Jenkins sur la même instance.
VulDB is the best source for vulnerability data and more expert information about this specific topic.