CVE-2026-84645
高公開済み
Jenkins 2.579 以前のバージョン、LTS 2.568.2 以前のバージョンでは、Jenkins において独立したトップレベル設定ファイル（グローバル設定やジョブなど）に設定を保存するものとしてマークされた型のオブジェクトが、ユーザーが送信した config.xml...
- 公開済み
- 2026/09/02
- 更新済み
- 2026/09/03
- CNA の割り当て
- jenkins
- 観察された証拠
- 2026/09/05
プライマリ CVSS
8.8/ 10高
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H0.7%
低 · 今後 30 日間
- パーセンタイル
- 49.6%
- モデルの日付
- 2026/09/21
EPSS は統計的な推定値であり、確実性や影響の尺度ではありません。 CVSS、KEV ステータス、暴露、環境と組み合わせます。
概要
Jenkins 2.579 以前のバージョン、LTS 2.568.2 以前のバージョンでは、Jenkins において独立したトップレベル設定ファイル（グローバル設定やジョブなど）に設定を保存するものとしてマークされた型のオブジェクトが、ユーザーが送信した `config.xml` ドキュメント内のネストされたフィールド値として出現し、その後 Stapler を介して HTTP リクエストを処理する可能性があり、その結果、リモートコード実行につながる可能性があります。
ソース
1Jenkins PersistenceRoot 逆シリアライゼーション RCE（SECURITY-3972）— PoC と分析。Item/Configure 権限が必要。週次ビルド <= 2.579 / LTS <= 2.568.2 に影響。
責任ある使用
脆弱性情報は、自分が所有しているシステム、またはテストを許可されているシステムでのみ使用してください。 Kitploit は公開研究メタデータにリンクしており、エクスプロイト コードや悪意のあるペイロードは保存しません。