Spätná väzba k reportu

Neautentizovanému vzdialenému útočníkovi je pri behu Jenkins cez java -jar jenkins.war umožnené vykonať DoS útok. Ovplyvnené sú iba inštancie s povoleným HTTP/2 [1].

Zraniteľnosť sa nachádza v produktoch:

• *:Jenkins weekly; <=2.523
• *:Jenkins LTS; <=2.516.2

CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H

Viac informácií:

• CVE-2025-5115 na cve.org, NVD
• CWE-400: Uncontrolled Resource Consumption na cwe.mitre.org

Zraniteľnosť bola verejne oznámená 17. 9. 2025.

Neautentizovanému vzdialenému útočníkovi bez oprávnenia Overall/Read je kvôli chýbajúcej kontrole oprávnení v bočnom paneli stránky umožnené pomocou widgetu „Executors“ vypísať názvy agentov [1].

Zraniteľnosť sa nachádza v produktoch:

• *:Jenkins weekly; <=2.527
• *:Jenkins LTS; <=2.516.2

CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N

Viac informácií:

• CVE-2025-59474 na cve.org, NVD
• CWE-862: Missing Authorization na cwe.mitre.org

Zraniteľnosť bola verejne oznámená 17. 9. 2025.

Autentizovanému vzdialenému útočníkovi bez oprávnenia Overall/Read je kvôli chýbajúcej kontrole oprávnení v používateľskom profilovom menu umožnené získať obmedzené informácie o konfigurácii [1].

Zraniteľnosť sa nachádza v produktoch:

• *:Jenkins weekly; <=2.527
• *:Jenkins LTS; <=2.516.2

CVSS: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:N/A:N

Viac informácií:

• CVE-2025-59475 na cve.org, NVD
• CWE-862: Missing Authorization na cwe.mitre.org

Zraniteľnosť bola verejne oznámená 17. 9. 2025.

Neautentizovanému vzdialenému útočníkovi je kvôli chýbajúcej reštrikcii znakov pri formátovaní logov umožnené vkladať do logov znaky zalomenia riadka a následne podvrhovať logové správy [1].

Zraniteľnosť sa nachádza v produktoch:

• *:Jenkins weekly; <=2.527
• *:Jenkins LTS; <=2.516.2

CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:L/A:N

Viac informácií:

• CVE-2025-59476 na cve.org, NVD
• CWE-117: Improper Output Neutralization for Logs na cwe.mitre.org

Zraniteľnosť bola verejne oznámená 17. 9. 2025.