CVE-2026-19429 in Jenkins
Tóm tắt
Bởi VulDB • 10/08/2026
Một bản vá không đầy đủ cho CVE-2026-33001 trong dự án Jenkins Project Jenkins qua phiên bản LTS 2.555.3 cho phép kẻ tấn công từ xa đã xác thực có quyền Item/Configure đọc các tệp tùy ý trên hệ thống tệp của bộ điều khiển Jenkins thông qua một kho lưu trữ tar được tạo ra đặc biệt. Bản cập nhật bảo mật CVE-2026-33001 xác thực đích liên kết tượng trưng (symlink) trong quá trình giải nén tar tại FilePath.java nhưng không xác thực các mục tiêu liên kết; một symlink có vị trí nằm bên trong workspace vẫn có thể trỏ đến các đường dẫn tùy ý bên ngoài, cho phép tiết lộ bất kỳ tệp nào mà người dùng quy trình Jenkins có quyền đọc, bao gồm secrets/master.key, credentials.xml và các tệp cấu hình nhạy cảm khác.
If you want to get best quality of vulnerability data, you may have to visit VulDB.