Mittel26 / 100Konfidenz: Mittel

CVSS8.8Über Netz erreichbarOhne Zutun des Nutzers

Aktualisieren Sie alle betroffenen Jenkins-Plugins umgehend auf die neuesten, gepatchten Versionen.

▸Herleitung der Bewertung(2)

Wie der Wert zustande kommt

Hoechster CVSS-Basiswert 8.8+16
Ohne Anmeldung ueber das Netz ausnutzbar (CVE-2026-92138, CVSS-Vektor AV:N/PR:N)+10

Woraus sich die Konfidenz ergibt

Nur ein Herausgeber — keine Gegenlesung
Darunter eine behoerdliche Primaerquelle
Strukturierte CVE-Daten aus der NVD vorhanden

Die Konfidenz misst die Belegqualität, nicht die Schwere.

Einschränkungen

Schmale Datenlage: der Wert beruht auf wenigen Einzelsignalen.
Fuer 1 erkannte CVE(s) liegt noch kein CVSS-Basiswert vor (NVD-Rueckstau).

Bewertung v1.1, deterministisch berechnet. Bedrohungswert und Konfidenz sind getrennte Größen.· 2026-09-17 11:06 UTCMethodik

Red Team IT / Cloud / SaaS Web Security

[NEU] [hoch] Jenkins Plugins: Mehrere Schwachstellen

CERT-Bund·17. September 2026, 11:06

Originalartikel lesen bei CERT-Bund

Mehrere Jenkins-Plugins weisen kritische Schwachstellen auf, die Angreifern die Umgehung von Sicherheitsmaßnahmen, Code-Ausführung und Datenmanipulation ermöglichen. Betroffen sind diverse Jenkins-Plugins auf UNIX- und Windows-Plattformen. Nutzer sollten umgehend die betroffenen Plugins auf die neuesten Versionen aktualisieren, um diese Risiken zu mindern.

SecBoard-Einordnung

Diese Schwachstellen ermöglichen Angreifern die Umgehung von Sicherheitsmaßnahmen, die Ausführung von beliebigem Code und die Manipulation von Daten, was zu erheblichen Betriebsunterbrechungen und Datenverlust führen kann.

Realistisch schlimmster Fall: Im schlimmsten Fall könnten Angreifer die Kontrolle über Jenkins-Instanzen übernehmen, sensible Daten exfiltrieren oder manipulieren und weitere Systeme im Netzwerk kompromittieren.

Key Facts· 12 / 20

Nach Dringlichkeit sortiert: KEV-Eintrag, dann CVSS, dann EPSS. Vollstaendige Liste im Meldungstext.

CVE-2026-92122

CVSS: 8.8 · HIGH
EPSS: unbekannt
Über das Netz: ja
Anmeldung nötig: ja
Nutzerinteraktion nötig: nein
Angriffskomplexität: niedrig
Beeinträchtigt: Vertraulichkeit, Integrität, Verfügbarkeit
Patch: unbekannt
Zuweisende CNA: jenkinsci-cert@googlegroups.com

CVE-2026-92123

CVSS: 8.8 · HIGH
EPSS: unbekannt
Über das Netz: ja
Anmeldung nötig: ja
Nutzerinteraktion nötig: nein
Angriffskomplexität: niedrig
Beeinträchtigt: Vertraulichkeit, Integrität, Verfügbarkeit
Patch: unbekannt
Zuweisende CNA: jenkinsci-cert@googlegroups.com

CVE-2026-92124

CVSS: 8.8 · HIGH
EPSS: unbekannt
Über das Netz: ja
Anmeldung nötig: ja
Nutzerinteraktion nötig: nein
Angriffskomplexität: niedrig
Beeinträchtigt: Vertraulichkeit, Integrität, Verfügbarkeit
Patch: unbekannt
Zuweisende CNA: jenkinsci-cert@googlegroups.com

CVE-2026-92125

CVSS: 8.8 · HIGH
EPSS: unbekannt
Über das Netz: ja
Anmeldung nötig: ja
Nutzerinteraktion nötig: nein
Angriffskomplexität: niedrig
Beeinträchtigt: Vertraulichkeit, Integrität, Verfügbarkeit
Patch: unbekannt
Zuweisende CNA: jenkinsci-cert@googlegroups.com

CVE-2026-92137

CVSS: 8.8 · HIGH
EPSS: unbekannt
Über das Netz: ja
Anmeldung nötig: ja
Nutzerinteraktion nötig: nein
Angriffskomplexität: niedrig
Beeinträchtigt: Vertraulichkeit, Integrität, Verfügbarkeit
Patch: unbekannt
Zuweisende CNA: jenkinsci-cert@googlegroups.com

CVE-2026-92127

CVSS: 8.0 · HIGH
EPSS: unbekannt
Über das Netz: ja
Anmeldung nötig: ja
Nutzerinteraktion nötig: ja
Angriffskomplexität: niedrig
Beeinträchtigt: Vertraulichkeit, Integrität, Verfügbarkeit
Patch: unbekannt
Zuweisende CNA: jenkinsci-cert@googlegroups.com

CVE-2026-92134

CVSS: 8.0 · HIGH
EPSS: unbekannt
Über das Netz: ja
Anmeldung nötig: ja
Nutzerinteraktion nötig: ja
Angriffskomplexität: niedrig
Beeinträchtigt: Vertraulichkeit, Integrität, Verfügbarkeit
Patch: unbekannt
Zuweisende CNA: jenkinsci-cert@googlegroups.com

CVE-2026-92135

CVSS: 8.0 · HIGH
EPSS: unbekannt
Über das Netz: ja
Anmeldung nötig: ja
Nutzerinteraktion nötig: ja
Angriffskomplexität: niedrig
Beeinträchtigt: Vertraulichkeit, Integrität, Verfügbarkeit
Patch: unbekannt
Zuweisende CNA: jenkinsci-cert@googlegroups.com

CVE-2026-92136

CVSS: 8.0 · HIGH
EPSS: unbekannt
Über das Netz: ja
Anmeldung nötig: ja
Nutzerinteraktion nötig: ja
Angriffskomplexität: niedrig
Beeinträchtigt: Vertraulichkeit, Integrität, Verfügbarkeit
Patch: unbekannt
Zuweisende CNA: jenkinsci-cert@googlegroups.com

CVE-2026-92128

CVSS: 7.5 · HIGH
EPSS: unbekannt
Über das Netz: ja
Anmeldung nötig: ja
Nutzerinteraktion nötig: nein
Angriffskomplexität: hoch
Beeinträchtigt: Vertraulichkeit, Integrität, Verfügbarkeit
Patch: unbekannt
Zuweisende CNA: jenkinsci-cert@googlegroups.com

CVE-2026-92129

CVSS: 7.5 · HIGH
EPSS: unbekannt
Über das Netz: ja
Anmeldung nötig: ja
Nutzerinteraktion nötig: nein
Angriffskomplexität: hoch
Beeinträchtigt: Vertraulichkeit, Integrität, Verfügbarkeit
Patch: unbekannt
Zuweisende CNA: jenkinsci-cert@googlegroups.com

CVE-2026-92140

CVSS: 6.8 · MEDIUM
EPSS: unbekannt
Über das Netz: ja
Anmeldung nötig: ja
Nutzerinteraktion nötig: ja
Angriffskomplexität: niedrig
Beeinträchtigt: Vertraulichkeit, Integrität, Verfügbarkeit
Patch: unbekannt
Zuweisende CNA: jenkinsci-cert@googlegroups.com

Betroffen

Nutzer von betroffenen Jenkins-Plugins auf UNIX- und Windows-Plattformen sind betroffen.

Prüfen

▸Überprüfen Sie alle installierten Jenkins-Plugins auf ihre Versionen und vergleichen Sie diese mit den empfohlenen gepatchten Versionen.
▸Scannen Sie Ihre Jenkins-Instanzen auf bekannte Schwachstellen in Plugins.

▸ 1 weitere

▸Stellen Sie sicher, dass ein regelmäßiger Patch-Management-Prozess für Jenkins und seine Plugins etabliert ist und befolgt wird.

Offene Punkte

▸ anzeigen

▸Spezifische CVE-IDs der betroffenen Plugins sind nicht angegeben.
▸Die genaue Anzahl und Namen der betroffenen Plugins sind nicht spezifiziert.
▸Details zu den Angriffsvektoren oder der Komplexität der Ausnutzung sind nicht im Artikel enthalten.

Red-Team-Relevanz

Was heißt das für dein nächstes Assessment?

▸ Einordnung anzeigen

Initial Access möglich?Möglich
Privilege Escalation relevant?Unklar
Exploit öffentlich verfügbar?Möglich
Detection / Logging prüfbar?Ja
Für Purple-Team-Szenario geeignet?Möglich

Kundenfragen

Haben wir Windows extern erreichbar?
Haben wir Jenkins extern erreichbar?
Können wir Reconnaissance detektieren?
Können wir Resource Development detektieren?

MITRE ATT&CK(6)

Techniken aus allen Quellen zusammengeführt — nach Stärke des Belegs sortiert.

T1059Command and Scripting Interpreterzugeordnet

„Code-Ausführung“

T1490Inhibit System Recoveryzugeordnet

„Datenmanipulation“

T1562Impair Defenseszugeordnet

„Umgehung von Sicherheitsmaßnahmen“

T1583.004Acquire Infrastructure: Serverabgeleitet

T1584.004Compromise Infrastructure: Serverabgeleitet

T1592.002Gather Victim Host Information: Softwareabgeleitet

Mehrere Herkünfte bei derselben Technik heißt: mehrere unabhängige Wege führen dorthin.

Kill-Chain-Phasen

Wie weit im Ablauf die belegten Techniken liegen — je Technik die früheste Phase.

Auskundschaften

›

Bewaffnung

›

Zustellung

›

Ausnutzung

›

Einnistung

›

Fernsteuerung

›

Zielhandlung

Quellen & Belege· 1 Quelle

CERT-BundPrimärbelegPUBLICZuverlässigkeit Adiese Meldung

Behoerdliche Veroeffentlichung mit Amtspflicht zur Richtigkeit, frei zugaenglich.

[NEU] [hoch] Jenkins Plugins: Mehrere Schwachstellen

Nur eine Quelle — der Sachverhalt ist an keiner zweiten Stelle gegengelesen.

Verknüpfte Intelligence

Dieselben Entitäten an anderer Stelle auf SecBoard.

Themen

hoch

Vollständigen Artikel lesen bei CERT-Bund

Erwähnte CVEs (12)

CVE-2026-92122HIGH(8.8)

Jenkins Script Security Plugin 1415.v9a_f9b_3a_c253d and earlier does not check the method called through the proxy created when a sandboxed script coerces a value to an interface, if the value inherits a method of the same name as an interface method, allowing attackers with permission to define and run sandboxed scripts, including Pipelines, to bypass the sandbox protection and execute arbitrary code in the context of the Jenkins controller JVM.

Details NVD

CVE-2026-92123HIGH(8.8)

Jenkins Script Security Plugin 1415.v9a_f9b_3a_c253d and earlier does not intercept operations performed on a null receiver (method calls, property and attribute accesses, and array accesses), allowing attackers with permission to define and run sandboxed scripts, including Pipelines, to bypass the sandbox protection and execute arbitrary code in the context of the Jenkins controller JVM.

Details NVD

CVE-2026-92124HIGH(8.8)

Jenkins Script Security Plugin 1415.v9a_f9b_3a_c253d and earlier checks the operations Groovy will perform with the elements it reads from a collection that a sandboxed script casts to another type but performs the cast on the collection itself, allowing attackers with permission to define and run sandboxed scripts, including Pipelines, to bypass the sandbox protection and execute arbitrary code in the context of the Jenkins controller JVM.

Details NVD

CVE-2026-92125HIGH(8.8)

Jenkins Script Security Plugin 1415.v9a_f9b_3a_c253d and earlier does not reject the @GroovyASTTransformationClass annotation, allowing attackers with permission to define and run sandboxed scripts, including Pipelines, to run an arbitrary AST transformation at compile time, bypassing the sandbox protection and executing arbitrary code in the context of the Jenkins controller JVM.

Details NVD

CVE-2026-92137HIGH(8.8)

Jenkins Robot Framework Plugin 6.2.2 and earlier does not check that the archive directory configured for Robot Framework report files is contained within the build directory on the Jenkins controller, allowing attackers with Item/Configure permission to create or replace arbitrary files on the Jenkins controller file system with attacker-specified content, which can lead to remote code execution.

Details NVD

CVE-2026-92127HIGH(8.0)

Jenkins Script Security Plugin 1415.v9a_f9b_3a_c253d and earlier automatically approves the classpath entries in an item configuration when a user with Overall/Administer permission copies the item, or updates that configuration through the REST API or CLI, allowing attackers able to define classpath entries to execute arbitrary code in the context of the Jenkins controller JVM.

Details NVD

CVE-2026-92134HIGH(8.0)

Jenkins Warnings Plugin 13.10258.va_17d49a_78c3b_ and earlier does not validate the analysis results ID when a job configuration is submitted through the REST API, allowing attackers with Item/Configure permission to use a javascript: scheme URL as identifier, resulting in a stored cross-site scripting (XSS) vulnerability.

Details NVD

CVE-2026-92135HIGH(8.0)

Jenkins Coverage Plugin 3.3358.v9487dde48783 and earlier does not validate the coverage results ID when a job configuration is submitted through the REST API, allowing attackers with Item/Configure permission to use a javascript: scheme URL as identifier, resulting in a stored cross-site scripting (XSS) vulnerability.

Details NVD

CVE-2026-92136HIGH(8.0)

Jenkins OWASP Dependency-Check Plugin 5.6.4 and earlier does not escape CWE values from Dependency-Check reports on the Jenkins UI, resulting in a stored cross-site scripting (XSS) vulnerability exploitable by attackers with Item/Configure permission.

Details NVD

CVE-2026-92128HIGH(7.5)

Jenkins Script Security Plugin 1415.v9a_f9b_3a_c253d and earlier downloads a JAR file specified by URL twice, confirming the approval of the first download and loading the classpath entries from the second, allowing attackers able to define classpath entries to execute arbitrary code in the context of the Jenkins controller JVM.

Details NVD

CVE-2026-92129HIGH(7.5)

Jenkins Script Security Plugin 1415.v9a_f9b_3a_c253d and earlier does not check calls from sandboxed scripts to methods added dynamically to a class at runtime, allowing attackers with permission to define and run sandboxed scripts, including Pipelines, to bypass the sandbox protection and execute code outside the sandbox.

Details NVD

CVE-2026-92140MEDIUM(6.8)

Jenkins Gitee Plugin 1301.v8957053c7902 and earlier does not escape the sender name from Gitee push webhook payloads in build causes, resulting in a stored cross-site scripting (XSS) vulnerability exploitable by attackers able to trigger builds via the Jenkins Gitee Plugin webhook endpoint.

Details NVD

SecBoard-Einordnung

Key Facts· 12 / 20

Betroffen

Prüfen

Offene Punkte

Red-Team-Relevanz

MITRE ATT&CK(6)

Kill-Chain-Phasen

Quellen & Belege· 1 Quelle

Verknüpfte Intelligence

Verwandte Artikel