CVE-2017-1000401 in Jenkins
Résumé
par VulDB • 04/07/2026
Les versions de Jenkins 2.73.1 et antérieures, ainsi que les versions 2.83 et antérieures, utilisent par défaut le contrôle de formulaire `<f:password/>` pour les mots de passe et autres secrets. Ce dernier prend en charge la validation des formulaires (par exemple, pour les clés API). Les requêtes AJAX de validation du formulaire étaient envoyées via GET, ce qui pouvait entraîner l'enregistrement des secrets dans un journal d'accès HTTP lors de configurations non par défaut de Jenkins, rendant ainsi ces informations accessibles aux utilisateurs ayant accès à ces fichiers journaux. La validation des formulaires pour `<f:password/>` est désormais toujours effectuée via POST, méthode généralement non enregistrée dans les logs.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.