CVE-2026-33002
Publiée le 2026-03-18 · Dernière modification le 2026-06-17
Les installations de Jenkins (versions 2.442–2.554 et LTS 2.426.3–2.541.2) sont vulnérables à une attaque par rebinding DNS qui contourne les vérifications de sécurité du point de terminaison WebSocket de l'interface en ligne de commande (CLI). Un attaquant distant non authentifié, en incitant un administrateur à visiter un site web malveillant, peut prendre le contrôle total du serveur Jenkins, y compris la possibilité de lire des données sensibles ou d'exécuter des commandes. Comme cela nécessite une configuration réseau spécifique et l'interaction active d'un utilisateur, cette attaque est plus difficile à exécuter qu'un exploit direct.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
Jenkins 2.442 through 2.554 (both inclusive), LTS 2.426.3 through LTS 2.541.2 (both inclusive) performs origin validation of requests made through the CLI WebSocket endpoint by computing the expected origin for comparison using the Host or X-Forwarded-Host HTTP request headers, making it vulnerable to DNS rebinding attacks that allow bypassing origin validation.