Jenkins Plugins: Mehrere Schwachstellen
WID-SEC-2026-1707 · primera publicación 28.05.2026 · actualizado 28.05.2026 · CVSS 8,8
De qué se trata
Jenkins ist ein erweiterbarer, webbasierter Integration Server zur kontinuierlichen Unterstützung bei Softwareentwicklungen aller Art. Ein Angreifer kann mehrere Schwachstellen in Jenkins Plugins ausnutzen, um Informationen offenzulegen, um Dateien zu manipulieren, um einen Cross-Site Scripting Angriff durchzuführen, um beliebigen Programmcode auszuführen, und um Sicherheitsvorkehrungen zu umgehen.
¿En qué condiciones?
El BSI no indica requisitos especiales. Explotable a distancia según el BSI.
Lo que puede pasar en el peor de los casos
Un atacante podría aprovechar la vulnerabilidad para
- Informationen offenzulegen
- Dateien zu manipulieren
- einen Cross-Site Scripting Angriff durchzuführen
- beliebigen Programmcode auszuführen
- Sicherheitsvorkehrungen zu umgehen
¿Me afecta?
Afectados según el BSI:
- Jenkins Jenkins Active Directory Plugin <2.41.1
- Jenkins Jenkins AppSpider Plugin <1.0.18
- Jenkins Jenkins Bitbucket OAuth Plugin <0.18
- Jenkins Jenkins Credentials Binding Plugin <725.ve52b_2328a_fde
- Jenkins Jenkins Email Extension Plugin <1933.1935.v276319e3cc47
- Jenkins Jenkins GitHub Integration Plugin <0.7.4
- Jenkins Jenkins Job Import Plugin <143.145.v48f9a_a_6ff384
- Jenkins Jenkins LDAP Plugin <807.809.vd3a_4e5e4ec98
- Jenkins Jenkins Multijob Plugin <669.v9d96a_d9c71b_0
- Jenkins Jenkins Pipeline: Groovy Libraries Plugin <798.v5cc688825312
La versión instalada suele aparecer en «Ayuda → Acerca de» o en la interfaz de administración del dispositivo.
¿Qué ayuda?
Actualizar como mínimo a:
- Jenkins Jenkins Active Directory Plugin 2.41.1
- Jenkins Jenkins AppSpider Plugin 1.0.18
- Jenkins Jenkins Bitbucket OAuth Plugin 0.18
- Jenkins Jenkins Credentials Binding Plugin 725.ve52b_2328a_fde
- Jenkins Jenkins Email Extension Plugin 1933.1935.v276319e3cc47
- Jenkins Jenkins GitHub Integration Plugin 0.7.4
- Jenkins Jenkins Job Import Plugin 143.145.v48f9a_a_6ff384
- Jenkins Jenkins LDAP Plugin 807.809.vd3a_4e5e4ec98
- Jenkins Jenkins Multijob Plugin 669.v9d96a_d9c71b_0
- Jenkins Jenkins Pipeline: Groovy Libraries Plugin 798.v5cc688825312
¿Se está explotando ya la vulnerabilidad?
Ninguna de las CVE figura en el catálogo de la CISA de vulnerabilidades explotadas. No significa que no haya ataques, solo que no hay ninguno documentado.
Información y fuentes
CVE: CVE-2026-48916, CVE-2026-48917, CVE-2026-48918, CVE-2026-48919, CVE-2026-48920, CVE-2026-48921, CVE-2026-48922, CVE-2026-48923, CVE-2026-48924, CVE-2026-48925, CVE-2026-48926, CVE-2026-48927, CVE-2026-9674
Fuente: BSI, servicio de alertas e información (CERT-Bund); CISA. La valoración de las condiciones es mi lectura del texto del BSI; las páginas externas están en su idioma original.