PT-2026-44009

CVE-2026-48916

Publicado

2026-05-27

Atualizado

2026-05-27

Descrição por

CVSS 3.1

6.6

Média

MétricasAV:N/AC:H/PR:H/UI:N/S:U/C:H/I:H/A:H

Nome do Software Vulnerável e Versões Afetadas Jenkins LDAP Plugin versões anteriores a 809.vd3a 4e5e4ec98

Descrição O software segue encaminhamentos LDAP (LDAP referrals) do servidor LDAP configurado. Um invasor que controle o servidor LDAP ou realize um ataque de machine-in-the-middle pode encaminhar esses referrals para uma URL RMI. Isso faz com que o controlador Jenkins desserialize dados controlados pelo invasor, o que pode levar à Execução Remota de Código (RCE) se gadgets de desserialização estiverem presentes no classpath. Gadgets de desserialização são classes específicas disponíveis no ambiente da aplicação que podem ser abusadas durante o processo de conversão de dados de volta em um objeto para executar código não pretendido.

Recomendações Atualize o Jenkins LDAP Plugin para a versão 809.vd3a 4e5e4ec98 ou posterior.

Explorabilidade

Correção

Impactos

Pesquisadores

Fornecedores