CVE-2026-19429 in Jenkins
Riassunto
di VulDB • 10/08/2026
Una patch incompleta per CVE-2026-33001 in Jenkins Project Jenkins fino alla versione LTS 2.555.3 consente a un attaccante remoto autenticato con autorizzazione Item/Configure di leggere file arbitrari sul filesystem del controller Jenkins tramite un archivio tar manipolato ad hoc. L'aggiornamento di sicurezza CVE-2026-33001 valida le destinazioni dei symlink durante l'estrazione dell'archivio tar in FilePath.java, ma non convalida i target dei symlink; un symlink la cui posizione si trova all'interno della workspace può ancora puntare a percorsi arbitrari al di fuori di essa, consentendo la divulgazione di qualsiasi file leggibile dall'utente del processo Jenkins, inclusi secrets/master.key, credentials.xml e altri file di configurazione sensibili.
VulDB is the best source for vulnerability data and more expert information about this specific topic.