CVE-2025-27624

mediumPriorität · verfolgen · 0EPSS 0.004 · 38. PerzentilDEEURUUS

grimoire priorityP3 · Track

Exploitable?

—

no known exploitation

Likely / severe?

0.44% (38th) EPSS

CVSS 5.4 · medium

Is it mine?

15 products

Prüfe deine Angriffsfläche

Who says so?

6 sources

cnnvd · enisa_euvd · fstec_bdu · osv

EPSS · bewertet 2026-10-27

A cross-site request forgery (CSRF) vulnerability in Jenkins 2.499 and earlier, LTS 2.492.1 and earlier allows attackers to have users toggle their collapsed/expanded status of sidepanel widgets (e.g., Build Queue and Build Executor Status widgets).

cvss

Technischer Schweregrad, 0–10. Eine Zeile je Quelle.

5.4

010

Basiswert 0–10 · höher = schwerwiegender · Vektor überfahren zum Auflösen

v3.15.4mediumAV:N/AC:L/PR:N/UI:R/S:U/C:N/I:L/A:Lsecondary · FSTEC (BDU) RU

v3.15.4mediumCVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:L/A:Lsecondary · ENISA EU

v3.15.4mediumCVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:L/A:LsecondaryAusnutzbarkeit 2.8 · Auswirkung 2.5

v3.15.4mediumCVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:L/A:Lsecondary · OSV

v3.15mediumCVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:L/A:L/E:Usecondary · CVSS-BT (t0sche)

SSVC

Eine Handlungsentscheidung — aus Ausnutzung und Auswirkung.

Trackcoordinatorcisa_ssvcUS

schwächen

Die CWE-Schwächeklassen, zu denen dies gehört.

CWE-352USCWE-352USCWE-352US

betroffene Produkte (15)

Betroffene Produkte und Versionsbereiche.

Jenkins Jenkins <2.500alle Versionencert_bundDE
Jenkins Jenkins LTS <2.492.2alle Versionencert_bundDE
jenkins Jenkins≤ LTS <2.492.2cert_bundDE
jenkins Jenkins< 2.500cert_bundDE
Jenkins Project Jenkins< 2.492.2enisa_euvdEU
Jenkins Project Jenkins< 2.500enisa_euvdEU
CD Foundation Jenkins≤ 2.499fstec_bduRU
CD Foundation Jenkins≤ 2.492.1 LTSfstec_bduRU
Red Hat Inc. Red Hat Developer Huballe Versionenfstec_bduRU
ООО «Ред Софт» РЕД ОС≤ 7.3fstec_bduRU
jenkins jenkins< 2.492.2nvdUScpe:2.3:a:jenkins:jenkins:*:*:*:*:*:*:*:*
jenkins jenkins< 2.500nvdUScpe:2.3:a:jenkins:jenkins:*:*:*:*:*:*:*:*
Bitnami jenkins2.493.0 → 2.504.1osvUSpkg:bitnami/jenkins
Maven org.jenkins-ci.main:jenkins-core< 2.492.2osvUSpkg:maven/org.jenkins-ci.main/jenkins-core
Maven org.jenkins-ci.main:jenkins-core2.493 → 2.500osvUSpkg:maven/org.jenkins-ci.main/jenkins-core

Advisories (3)

Hersteller- und Ökosystem-Meldungen dazu.

WID-SEC-W-2025-0489Jenkins: Mehrere SchwachstellenDeutsch2025-03-05csaf · cert_bundDE
Ein entfernter anonymer oder authentisierter Angreifer kann mehrere Schwachstellen in Jenkins ausnutzen, um Informationen preiszugeben, Daten zu manipulieren und Spoofing-Angriffe durchzuführen.
GHSA-7g95-jmg9-h524Jenkins cross-site request forgery (CSRF) vulnerability2025-03-06ghsa · osvUS
Jenkins 2.499 and earlier, LTS 2.492.1 and earlier does not require POST requests for the HTTP endpoint toggling collapsed/expanded status of sidepanel widgets (e.g., Build Queue and Build Executor Status widgets), resulting in a cross-site request forgery (CSRF) vulnerability. This vulnerability allows attackers to have users toggle their collapsed/expanded status of sidepanel widgets. Additionally, as the API accepts any string as the identifier of the panel ID to be toggled, attacker-controlled content can be stored in the victim’s user profile in Jenkins. Jenkins 2.500, LTS 2.492.2 requires POST requests for the affected HTTP endpoint.
BIT-jenkins-2025-276242025-03-07vendor · osvUS
A cross-site request forgery (CSRF) vulnerability in Jenkins 2.499 and earlier, LTS 2.492.1 and earlier allows attackers to have users toggle their collapsed/expanded status of sidepanel widgets (e.g., Build Queue and Build Executor Status widgets).

auch bekannt als (6)

Weitere Namen und Kennungen dieser Entität.

quellen

Welche Quellen diesen Datensatz belegen und wann.

cnnvd enisa_euvd fstec_bdu osv cert_bund nvd NVD CVE.org MITRE

veröffentlicht 2025-03-05geändert 2026-06-17

Referenzen (5)

Externe Belege — Patches, Meldungen, Analysen.

scry

Angreifer nutzen Schwachstellen wie diese gegen im Internet exponierte Dienste aus. Sehen Sie mit einem kostenlosen Passiv-Scan, was exponiert ist.

Kostenloser Scan