Un aviso de seguridad ha revelado múltiples vulnerabilidades en Jenkins Core, incluyendo una falla de Cross-Site Scripting (XSS) almacenado que podría exponer los entornos de compilación a graves riesgos de seguridad. Los problemas, identificados como CVE-2026-27099 y CVE-2026-27100, fueron reportados de manera responsable bajo el Programa de Recompensas por Errores de Jenkins, patrocinado por la Comisión Europea. La más crítica de las dos, registrada como CVE-2026-27099, es una vulnerabilidad de XSS almacenado

Security Advisory ha revelado múltiples vulnerabilidades en Jenkins Core, incluyendo un fallo de Cross-Site Scripting (XSS) almacenado que podría exponer los entornos de compilación a graves riesgos de seguridad.

Los problemas, identificados como CVE-2026-27099 y CVE-2026-27100, fueron reportados de manera responsable bajo el Programa de Recompensas por Errores de Jenkins, patrocinado por la Comisión Europea.

El más crítico de los dos, registrado como CVE-2026-27099, es una vulnerabilidad de XSS almacenado de alta gravedad que afecta a las versiones de Jenkins 2.550 y anteriores, así como a las versiones LTS 2.541.1 y anteriores.

El fallo se origina en cómo Jenkins maneja las "descripciones de causa de desconexión", que explican por qué un nodo de compilación se desconecta.

Desde la versión 2.483, estas descripciones permitían contenido HTML, pero la entrada no se escapaba correctamente en las versiones vulnerables.

Un atacante con permisos de Agent/Configure o Agent/Disconnect podría inyectar JavaScript malicioso en la descripción de causa de desconexión, comprometiendo potencialmente las sesiones de otros usuarios.

Las versiones de Jenkins 2.551 y LTS 2.541.2 solucionan este problema escapando la entrada proporcionada por el usuario.

Además, las instancias que usan aplicación de Políticas de Seguridad de Contenido (CSP) en Jenkins 2.539 y posteriores están parcialmente protegidas contra estos ataques.

La segunda vulnerabilidad, CVE-2026-27100, con gravedad media, afecta a cómo Jenkins maneja los valores del parámetro Run.

En las versiones afectadas hasta la 2.550 (y LTS 2.541.1), los usuarios podían consultar compilaciones o trabajos a los que no tenían permiso de acceso.

Esto permitía a los atacantes determinar si existían proyectos o compilaciones específicas, lo que podría llevar a la filtración de información dentro del entorno de Jenkins.

Jenkins 2.551 y LTS 2.541.2 ahora rechazan correctamente los valores no autorizados del parámetro Run, evitando este tipo de fuga de datos.

Los administradores de Jenkins están fuertemente aconsejados a actualizar a las últimas versiones 2.551 o LTS 2.541.2 para mitigar ambas vulnerabilidades. Las compilaciones que dependen de versiones anteriores siguen en riesgo de inyección de scripts y exposición no autorizada de información de compilación.