CVE-2026-42523

概要

Jenkins GitHub Plugin 1.46.0 以前のバージョンにおいて、「GitHub hook trigger for GITScm polling」機能の検証を実装する JavaScript の一部として、現在のジョブ URL が不適切に処理される脆弱性が存在します。これにより、Overall/Read 権限を持つ非匿名の攻撃者が悪用可能な格納型クロスサイトスクリプティング（XSS）脆弱性が発生します。

攻撃者は悪意のあるスクリプトを注入し、他のユーザーのブラウザ上で実行させることが可能です。Jenkins は CI/CD パイプラインの中心的なツールであるため、管理者権限の奪取やビルドパイプラインの改ざんにつながる恐れがあります。

CVSSベクトル

影響を受けるソフトウェア

修正バージョンと回避策

• 修正バージョン: Jenkins GitHub Plugin 1.46.1 以降へアップデート
• 暫定回避策: 信頼できないユーザーへの Overall/Read 権限の付与を制限する。GitHub hook trigger for GITScm polling 機能の使用を一時的に無効化することも検討

関連リンク

• NVD
• Jenkins Security Advisory 2026-04-29

データソース: NVD (NIST) AI解説は Claude API により自動生成されています。正確性については原文をご確認ください。