CVE-2026-57288
Publiée le 2026-06-24 · Dernière modification le 2026-10-25
Les serveurs Jenkins utilisant le plugin Active Directory (version 2.41.1 ou antérieure) via le chemin d'authentification native Windows sont concernés. Un attaquant distant non authentifié peut utiliser des caractères génériques LDAP dans le champ du nom d'utilisateur pour découvrir des entrées d'annuaire valides ou se connecter en tant qu'utilisateur s'il possède déjà le mot de passe de ce dernier. En raison de la grande complexité de l'attaque, celle-ci est difficile à réaliser et n'entraîne qu'une divulgation limitée d'informations.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
Jenkins Active Directory Plugin 2.41.1 and earlier does not escape the user name before building the LDAP search filter in the Windows native (ADSI) authentication path, allowing unauthenticated attackers to inject LDAP wildcard characters to enumerate directory entries and to authenticate as a matching user whose password they know without knowing their exact user name.