Vulnerabilità · 98 giorni fa
Il punto debole non è il singolo plugin, ma il controller di Jenkins come piano di controllo. Se un job può lasciare contenuto nel workspace e quel contenuto viene poi parsato come fidato, il rischio diventa la lettura di segreti del controller o richieste interne fatte a suo nome; patchare solo il componente visibile non chiude tutto l’esposizione.
Jenkins ha pubblicato 22 vulnerabilità su core e plugin ufficiali, con impatto su weekly fino alla 2.575 e LTS fino alla 2.568.1. Tra queste c’è CVE-2026-70448, una XXE che può partire da contenuto di workspace controllato dall’attaccante e portare a disclosure di dati del controller o SSRF; per alcuni plugin colpiti esistono correzioni, ma per altri al momento della pubblicazione non era disponibile alcun update.
Per chi usa Jenkins con artefatti o contenuti di job non fidati, la superficie reale è il controller e non il solo plugin nominato nell’avviso. Finché la correzione non copre l’intero set di plugin coinvolti, il rischio trasferibile resta quello di segreti del controller e accesso ai servizi interni attraverso dati che sembrano normali pipeline content.
CVE in questo aggiornamento
9 CVE
Distribuite tra Jenkins, Remoting, Jenkins Multijob Plugin e altri pacchetti correlati.
1 critiche · 3 alte · 4 medie · 0 basse
0 in CISA KEV · 0 con EPSS sopra 1%
Severità più alta: CVE-2026-70426 · 9.0 CRITICAL
2 fonti che coprono questa storia
Rilevate nuove vulnerabilità in Jenkins
Rilevate nuove vulnerabilità, di cui una con gravità “critica”, in Jenkins, noto server di automazione open source.
Múltiples vulnerabilidades en Jenkins
Jenkins ha publicado 22 vulnerabilidades: 1 de severidad crítica, 8 de severidad alta, 11 de severidad
Part of the PlainSec briefing for 2026-08-06