Jenkins Project Jenkins: Session Fixation

In Jenkins 2.579 and earlier, LTS 2.568.2 and earlier, Jenkins does not rotate the session when a user is authenticated via the "remember me" cookie, allowing attackers able to serve content on the same site as Jenkins to set a known session cookie in the victim's browser, which after the victim authenticates via the "remember me" cookie, grants the attacker access to Jenkins as that user.

Ein entfernter, anonymer Angreifer kann mehrere Schwachstellen in Jenkins und verschiedenen Plugins ausnutzen, um Daten offenzulegen oder zu manipulieren, Cross-Site Scripting (XSS) durchzuführen, beliebigen Code auszuführen oder die Sitzung eines anderen Benutzers zu übernehmen.

The Cyber Security Agency of Singapore included this CVE in its official Security Bulletin 9 Sep 2026, published on 9 September 2026. Open the linked bulletin for the product, severity and reference information published in that issue.

Aggiornamenti di sicurezza Jenkins sanano molteplici vulnerabilità, di cui 6 con gravità "alta", presenti nel software open source per l'automazione di processi di integrazione e distribuzione continua (CI/CD).

Jenkins 2.579およびそれ以前、LTS 2.568.2およびそれ以前のバージョンでは、ユーザーが「remember me」クッキーを使って認証された場合にセッションがローテーションされません。そのため、攻撃者がJenkinsと同じサイトでコンテンツを提供できる状況においては、被害者のブラウザに既知のセッションクッキーを設定できます。被害者が「remember me」クッキーを使って認証を行った後、そのセッションを利用して攻撃者はそのユーザーとしてJenkinsにアクセスできるようになります。