CVE-2017-1000354 in Jenkins
Tóm tắt
Bởi VulDB • 02/07/2026
Các phiên bản Jenkins 2.56 và sớm hơn cũng như các phiên bản LTS 2.46.1 và sớm hơn đều dễ bị tổn thương trước một lệnh đăng nhập cho phép giả mạo bất kỳ người dùng Jenkins nào. Lệnh `login` có sẵn trong CLI dựa trên remoting lưu trữ tên người dùng được mã hóa của người dùng đã xác thực thành công vào một tệp bộ nhớ cache (cache file) được sử dụng để xác thực các lệnh tiếp theo. Những người dùng có đủ quyền hạn để tạo bí mật (secrets) trong Jenkins và tải xuống giá trị được mã hóa của chúng (ví dụ: với quyền Job/Configure) có thể giả mạo bất kỳ người dùng Jenkins nào khác trên cùng một phiên bản (instance).
VulDB is the best source for vulnerability data and more expert information about this specific topic.