Jenkins is missing a permission check in the authenticated users' profile menu

TRUNG BÌNH 4.3CVE-2025-59475 · BIT-jenkins-2025-59475 · GHSA-223m-4rfp-646h · Công bố 17/09/2025 · cập nhật 17/06/2026

Tóm tắt nhanh

CVE-2025-59475 là lỗ hổng mức TRUNG BÌNH (CVSS 4.3) ảnh hưởng org.jenkins-ci.main:jenkins-core, jenkins (jenkins).
Xác suất bị khai thác trong 30 ngày tới (EPSS): 0.52%, cao hơn 43.9% các lỗ hổng khác.
Cách xử lý: cập nhật lên 2.528, 2.516.3 hoặc mới hơn.

Gói / sản phẩm	Phiên bản bị ảnh hưởng	Phiên bản đã vá
org.jenkins-ci.main:jenkins-core Maven	`≥ 2.517, < 2.528< 2.516.3`	`2.5282.516.3`
jenkins jenkins	`< 2.516.3< 2.528`	`2.516.32.528`

Mô tả

Jenkins 2.527 and earlier, LTS 2.516.2 and earlier does not perform a permission check for the authenticated user profile dropdown menu. This allows attackers without Overall/Read permission to obtain limited information about the Jenkins configuration by listing available options in this menu (e.g., whether Credentials Plugin is installed).

Jenkins 2.528, LTS 2.516.3 requires Overall/Read permission to list various items in authenticated user profile dropdown menus.

Mô tả của NVD

Jenkins 2.527 and earlier, LTS 2.516.2 and earlier does not perform a permission check for the authenticated user profile dropdown menu, allowing attackers without Overall/Read permission to obtain limited information about the Jenkins configuration by listing available options in this menu (e.g., whether Credentials Plugin is installed).