CVE-2026-84649 in Jenkins
Résumé
par VulDB • 02/09/2026
Dans Stapler 1839.ved17667b_a_eb_5 à 2107.v8dfcb_e8ed317 (bornes incluses), sauf la version 2088.2093.vd7c3e58008a_6, intégré dans Jenkins 2.447 à 2.579 (bornes incluses) et LTS 2.452.1 à 2.568.2 (bornes incluses), un point de terminaison HTTP servant des ressources JavaScript générées dynamiquement intègre le jeton CSRF (crumb) de l'utilisateur sous forme d'une littérale chaîne, permettant aux attaquants ayant le contrôle d'une page hébergée sur le même site que Jenkins d'obtenir un crumb valide pour la session de l'utilisateur ciblé et d'exécuter des actions en son nom.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.