CVE-2026-48920: jenkins email extension

csirt@kutim:~/threat-intel/cve/CVE-2026-48920

CVSS 8.8 · High EPSS 0,51%

Kerentanan External Control of File Name or Path pada jenkins email extension. Skor CVSS 3.1 8.8 (High) menurut CISA ADP.

Deskripsi (NVD)

Jenkins Email Extension Plugin 1933.v45cec755423f and earlier allows inlining images as `base64` in email content by setting the `data-inline` attribute, without restrictions on the image URLs that can be inlined, allowing attackers able to control the email content to specify `file:` URLs for images to read arbitrary files from the Jenkins controller filesystem.

Rincian

Terbit di NVD: 27 Mei 2026
Terakhir diubah: 17 Juni 2026
Status NVD: Analyzed
CVSS 3.1: 8.8 (High), sumber CISA ADP
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H · uraikan di kalkulator
Jenis kelemahan (CWE): CWE-73: External Control of File Name or Path
EPSS (30 hari): 0,51% peluang dieksploitasi; lebih tinggi dari 41,8% CVE lain

Produk dan versi terdampak

Vendor	Produk	Versi terdampak
jenkins	email extension	Semua versi hingga 1925.v1598902b_58dd
jenkins	email extension	Versi 1933.v45cec755423f

> Data dari konfigurasi CPE di NVD.

Referensi dan perbaikan

https://www.jenkins.io/security/advisory/2026-05-27/#SECURITY-3705 advisory vendor

Sumber: NVD · CVE.org · EPSS. Halaman ini disusun otomatis dari data tersebut; pembaruan terakhir 5 Okt 2026, 20:11 WITA. Kalau sistem di Perangkat Daerah memakai produk ini dan butuh bantuan, laporkan lewat kanal pelaporan.