PT-2026-35915 · Jenkins · Matrix Authorization Strategy Plugin

Arafat Ul Islam + 1 · Publicado 2026-04-29 · Atualizado 2026-04-29 · CVE-2026-42521

Positive Technologies (AI Summary) · Pt

CVSS v3.1

6.5

Média

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:H/A:N

Nome do Software Vulnerável e Versões Afetadas Jenkins Matrix Authorization Strategy Plugin versões 2.0-beta-1 até 3.2.9

Descrição O plugin invoca construtores sem parâmetros de classes especificadas na configuração durante a desserialização de estratégias de herança. Como não há restrição quanto às classes que podem ser instanciadas, usuários com permissão de Item/Configure podem instanciar tipos arbitrários. Isso pode resultar em divulgação de informações ou outros impactos, dependendo das classes disponíveis no classpath.

Recomendações No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.

Deserialization of Untrusted Data

Enumeração de Fraquezas

CWE-502

Identificadores relacionados

CVE-2026-42521

GHSA-JP9R-MMHW-VFF3

Produtos afetados

Matrix Authorization Strategy Plugin

Referências · 5

• https://github.com/jenkinsci/matrix-auth-plugin · Nota
• https://twitter.com/CVEnew/status/2049594355736891566 · Publicação no Twitter
• https://jenkins.io/security/advisory/2026-04-29/#SECURITY-3676 · Aviso do Fabricante
• https://osv.dev/vulnerability/GHSA-jp9r-mmhw-vff3 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2026-42521 · Nota de Segurança