CVE-2026-48920

8.8 Élevée

Publiée le 27/05/2026 à 17:16 · Modifiée le 14/10/2026 à 22:10 · Analysée par le NVD · Source : jenkinsci-cert@googlegroups.com

Description

Jenkins Email Extension Plugin 1933.v45cec755423f and earlier allows inlining images as `base64` in email content by setting the `data-inline` attribute, without restrictions on the image URLs that can be inlined, allowing attackers able to control the email content to specify `file:` URLs for images to read arbitrary files from the Jenkins controller filesystem.

Traduire en français

Produits concernés

Jenkins Project Jenkins Email Extension Plugin
Jenkins email extension

Scores CVSS

Version	Score	Source	Vecteur
3.1	8.8 Élevée	134c704f-9b21-4f2e-91b3-4a467353bcc0	`CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H`

Faiblesses (CWE)

CWE-73

Références

https://www.jenkins.io/security/advisory/2026-05-27/#SECURITY-3705 Vendor Advisory

Ailleurs

NVD
CVE.org
CIRCL Vulnerability-Lookup
CERT-FR
GitHub Advisories