CVE-2026-14336

Nome do Software Vulnerável e Versões Afetadas PIA (versões afetadas não especificadas)

Descrição A lista de permissões do emissor OIDC para tokens Jenkins utiliza uma verificação de prefixo de string simples em vez de validar o emissor como uma URL devidamente limitada ao host. Isso permite que um invasor ignore a verificação usando um truque de userinfo (ex: https://ci.eclipse.org@evil.host) ou um truque de sufixo (ex: https://ci.eclipse.org.evil.host), redirecionando as buscas de descoberta OIDC e JWKS para um servidor sob seu controle. Um chamador não autenticado do endpoint 'POST /v1/upload/sbom' pode explorar isso para forçar o sistema a fazer requisições HTTP(S) externas para um host arbitrário e fazer com que a função oidc.verify token() aceite um JWT assinado com a própria chave do invasor.

Recomendações No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.