CVSS: 8.8EPSS: 0%CPEs: 2EXPL: 0CVE-2017-1000356
https://notcve.org/view.php?id=CVE-2017-1000356
Jenkins versions 2.56 and earlier as well as 2.46.1 LTS and earlier are vulnerable to an issue in the Jenkins user database authentication realm: create an account if signup is enabled; or create an account if the victim is an administrator, possibly deleting the existing default admin user in the process and allowing a wide variety of impacts. Jenkins, en versiones 2.56 y anteriores y 2.46.1 LTS y anteriores, es vulnerable a un problema en el realm de autenticación de la base de datos de usuarios de Jenkins. La vulnerabilidad permite crear una cuenta si signup está habilitado o crear una cuenta si la víctima es un administrador, lo que podría eliminar durante el proceso al administrador existente por defecto y permitir una gran variedad de impactos. • http://www.securityfocus.com/bid/98062 https://jenkins.io/security/advisory/2017-04-26 • CWE-352: Cross-Site Request Forgery (CSRF) •
CVSS: 6.5EPSS: 0%CPEs: 2EXPL: 0CVE-2017-1000355
https://notcve.org/view.php?id=CVE-2017-1000355
Jenkins versions 2.56 and earlier as well as 2.46.1 LTS and earlier are vulnerable to an XStream: Java crash when trying to instantiate void/Void. Jenkins, en versiones 2.56 y anteriores y 2.46.1 LTS y anteriores, es vulnerable al cierre inesperado de Java XStream: al intentar crear una instancia void/Void. • http://www.securityfocus.com/bid/98066 https://jenkins.io/security/advisory/2017-04-26 • CWE-502: Deserialization of Untrusted Data •
CVSS: 2.2EPSS: 0%CPEs: 2EXPL: 0CVE-2017-1000401
https://notcve.org/view.php?id=CVE-2017-1000401
The Jenkins 2.73.1 and earlier, 2.83 and earlier default form control for passwords and other secrets, <f:password/>, supports form validation (e.g. for API keys). The form validation AJAX requests were sent via GET, which could result in secrets being logged to a HTTP access log in non-default configurations of Jenkins, and made available to users with access to these log files. Form validation for <f:password/> is now always sent via POST, which is typically not logged. El control de formularios por defecto en Jenkins 2.73.1 y anteriores y 2.83 y anteriores para contraseñas y otros secretos, , es compatible con validación de formularios (por ejemplo, para claves API). Las peticiones AJAX de validación de formularios se enviaron mediante GET, lo que podría resultar en que los secretos se registren en un log de acceso HTTP en configuraciones que no son por defecto de Jenkins y se pongan a disposición de usuarios con acceso a estos archivos de registro. • https://jenkins.io/security/advisory/2017-10-11 • CWE-20: Improper Input Validation •
CVSS: 7.3EPSS: 0%CPEs: 2EXPL: 0CVE-2017-1000391
https://notcve.org/view.php?id=CVE-2017-1000391
Jenkins versions 2.88 and earlier and 2.73.2 and earlier stores metadata related to 'people', which encompasses actual user accounts, as well as users appearing in SCM, in directories corresponding to the user ID on disk. These directories used the user ID for their name without additional escaping, potentially resulting in problems like overwriting of unrelated configuration files. Jenkins, en versiones 2.88 y anteriores y versiones 2.73.2 y anteriores almacena metadatos relacionados con "people", que incluye cuentas reales de usuario, así como usuarios que aparecen en SCM en directorios que corresponden con el ID de usuario en disco. Estos directorios empleaban el ID de usuario para su nombre sin escape adicional, lo que puede resultar en problemas como la sobrescritura de archivos de configuración no relacionados. • http://www.securityfocus.com/bid/101773 https://jenkins.io/security/advisory/2017-11-08 • CWE-20: Improper Input Validation •
CVSS: 9.0EPSS: 0%CPEs: 2EXPL: 0CVE-2017-1000393
https://notcve.org/view.php?id=CVE-2017-1000393
Jenkins 2.73.1 and earlier, 2.83 and earlier users with permission to create or configure agents in Jenkins could configure a launch method called 'Launch agent via execution of command on master'. This allowed them to run arbitrary shell commands on the master node whenever the agent was supposed to be launched. Configuration of this launch method now requires the Run Scripts permission typically only granted to administrators. Los usuarios de Jenkins 2.73.1 y anteriores y 2.83 y anteriores con permiso para crear o configurar agentes podrían configurar un método de inicio llamado "Launch agent via execution of command on master". Esto les permitía ejecutar comandos shell arbitrarios en el nodo del servidor maestro cada vez que se supone que se iba a iniciar el agente. • https://jenkins.io/security/advisory/2017-10-11 • CWE-78: Improper Neutralization of Special Elements used in an OS Command ('OS Command Injection') •