CVE-2026-57285

mediumPriorität · verfolgen · 0OT-Risiko · erhöhtEPSS 0.003 · 20. PerzentilDEEUUS

grimoire priorityP3 · Track

Exploitable?

—

no known exploitation

Likely / severe?

0.28% (20th) EPSS

CVSS 4.3 · medium

Is it mine?

18 products

Prüfe deine Angriffsfläche

Who says so?

5 sources

cnnvd · enisa_euvd · cert_bund · nvd

EPSS · bewertet 2026-10-27

A missing permission check in Jenkins GitHub Branch Source Plugin 1967.1969.v205fd594c821 and earlier allows attackers with Overall/Read permission to obtain the URLs of GitHub Enterprise servers configured in the global plugin configuration.

cvss

Technischer Schweregrad, 0–10. Eine Zeile je Quelle.

4.3

010

Basiswert 0–10 · höher = schwerwiegender · Vektor überfahren zum Auflösen

v3.14.3mediumCVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:N/A:Nsecondary · ENISA EU

v3.14.3mediumCVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:N/A:NsecondaryAusnutzbarkeit 2.8 · Auswirkung 1.4

v3.14.3mediumCVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:N/A:Nsecondary · OSV

v3.14mediumCVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:N/A:N/E:Usecondary · CVSS-BT (t0sche)

SSVC

Eine Handlungsentscheidung — aus Ausnutzung und Auswirkung.

Trackcoordinatorcisa_ssvcUS

schwächen

Die CWE-Schwächeklassen, zu denen dies gehört.

CWE-862USCWE-862US

betroffene Produkte (18)

Betroffene Produkte und Versionsbereiche.

Red Hat OpenShift Developer Toolsalle Versionencert_bundDEcpe:/a:redhat:openshift:developer_tools
jenkins Jenkins≤ Active Directory Plugin <2.41.2cert_bundDE
jenkins Jenkins≤ Bitbucket Push and Pull Request Plugin <3.3.9cert_bundDE
jenkins Jenkins≤ Contrast Continuous Application Security Plugin <3.12cert_bundDE
jenkins Jenkins≤ EC2 Fleet Plugin <4.2.3.540.va_6eedb_7b_c112cert_bundDE
jenkins Jenkins≤ External Workspace Manager Plugin <1.4.0cert_bundDE
jenkins Jenkins≤ Git Parameter Plugin <462.463.v496a_59f698e5cert_bundDE
jenkins Jenkins≤ Git client Plugin <6.6.1cert_bundDE
jenkins Jenkins≤ GitHub Branch Source Plugin <1967.1970.vd86979736546cert_bundDE
jenkins Jenkins≤ Gitee Plugin <1292.v2559f2f3f2c0cert_bundDE
jenkins Jenkins≤ Job Configuration History Plugin <1367.vc8fa_b_15101dccert_bundDE
jenkins Jenkins≤ MCP Server Plugin <0.178.vffe5a_e770f3b_cert_bundDE
jenkins Jenkins≤ Pipeline: Groovy Plugin <4331.4333.v50a_b_076c5199cert_bundDE
jenkins Jenkins≤ Priority Sorter Plugin <936.937.v5581d0b_2ccb_a_cert_bundDE
jenkins Jenkins≤ Script Security Plugin <1402.1405.vc96e74964250cert_bundDE
Jenkins Project Jenkins GitHub Branch Source Plugin≤ 0 ≤1967.1969.v205fd594c821enisa_euvdEU
jenkins github branch source≤ 1967.1969.v205fd594c821nvdUScpe:2.3:a:jenkins:github_branch_source:*:*:*:*:*:*:*:*
Maven org.jenkins-ci.plugins:github-branch-source< 1967.1970osvUSpkg:maven/org.jenkins-ci.plugins/github-branch-source

Advisories (2)

Hersteller- und Ökosystem-Meldungen dazu.

WID-SEC-W-2026-2074Jenkins Plugins: Mehrere SchwachstellenDeutsch2026-06-24csaf · cert_bundDE
Ein Angreifer kann mehrere Schwachstellen in Jenkins Plugins ausnutzen, um beliebigen Programmcode auszuführen, Sicherheitsmaßnahmen zu umgehen und vertrauliche Informationen zu manipulieren oder offenzulegen.
GHSA-g7c6-wxjf-8564Jenkins GitHub Branch Source Plugin has missing permission check that allows enumerating GitHub Enterprise server URLs2026-06-24ghsa · osvUS
Jenkins GitHub Branch Source Plugin 1967.1969.v205fd594c821 and earlier does not perform a permission check in an HTTP endpoint that lists the GitHub API endpoints configured in the global plugin configuration. This allows attackers with Overall/Read permission to obtain the URLs of GitHub Enterprise servers configured by administrators. This vulnerability has been reported through the Jenkins Bug Bounty Program sponsored by the European Commission. GitHub Branch Source Plugin 1967.1970.vd86979736546 requires Overall/Manage permission or Item/Extended Read permission on an item to list the configured GitHub API endpoints.

auch bekannt als (3)

Weitere Namen und Kennungen dieser Entität.

quellen

Welche Quellen diesen Datensatz belegen und wann.

cnnvd enisa_euvd cert_bund nvd osv NVD CVE.org MITRE

veröffentlicht 2026-06-24geändert 2026-10-25

Referenzen (3)

Externe Belege — Patches, Meldungen, Analysen.

scry

Angreifer nutzen Schwachstellen wie diese gegen im Internet exponierte Dienste aus. Sehen Sie mit einem kostenlosen Passiv-Scan, was exponiert ist.

Kostenloser Scan