CVE-2026-42016: presente nel catalogo CISA KEV

CVE-2026-42016 · CVSS 8.1 HIGH · EPSS 9% · KEV 2026-09-11 · patch disponibile

JFrog Artifactory (Self Hosted) versions before 7.133.11 are vulnerable to a privilege escalation attack due to a validation check of the token signature/issuer and not the token’s scope.

CVE-2026-42016 viene sfruttato?

• Inserito nel catalogo CISA KEV il 2026-09-11.
• Scadenza di remediation federale: 2026-09-25.
• Oltre quella data da 34 giorni.
• EPSS stima la probabilità di sfruttamento nei prossimi 30 giorni al 9%.
• Codice di exploit pubblico: nessuno trovato nelle fonti monitorate.

Quali prodotti e versioni sono interessati?

• jfrog · artifactory · >= 0, < 7.133.11

Esiste una patch?

Sì. Aggiorna a una di queste versioni o successive:

Dal record CVE di jfrog · Advisory di jfrog

Cosa ha pubblicato PlainSec su CVE-2026-42016

• Wiz finds Artifactory admin takeover in the wild (2026-09-17)
• Artifactory chaining gave attackers admin backdoors (2026-09-09)
• Artifactory fix set grows, but the breach path is still unclear (2026-07-28)

Fonti primarie

• NVD record
• CISA KEV catalog
• jfrog advisory

KEV ed EPSS vengono ricontrollati ogni giorno. Scheda aggiornata il 2026-09-24.