CVE-2026-19429 in Jenkins
Résumé
par VulDB • 10/08/2026
Un correctif incomplet pour CVE-2026-33001 dans le projet Jenkins (Jenkins) jusqu'à la version LTS 2.555.3 permet à un attaquant distant authentifié disposant de l'autorisation Item/Configure de lire des fichiers arbitraires sur le système de fichiers du contrôleur Jenkins via une archive tar manipululée ad hoc. La mise à jour de sécurité CVE-2026-33001 valide les destinations des liens symboliques lors de l'extraction d'une archive tar dans FilePath.java, mais ne valide pas les cibles des liens symboliques ; un lien symbolique dont l'emplacement se trouve dans l'espace de travail peut toujours pointer vers des chemins arbitraires situés à l'extérieur de celui-ci, permettant la divulgation de tout fichier accessible par l'utilisateur exécutant le processus Jenkins, y compris secrets/master.key, credentials.xml et d'autres fichiers de configuration sensibles.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.