CVE-2026-91993mediumCWE-639

CVE-2026-91993: falha de média gravidade em dromara Jpom

Jpom through 2.11.12 Workspace Isolation Bypass via /build/branch-list

Publicada em · Atualizada em

Seguir esta CVE+ Monitorar Jpom

Aviso por e-mail quando ela entrar no KEV, ganhar PoC pública ou subir de nota.

33Vexday Risk Score

Sem sinal de exploração. Ela tem prova de conceito pública.

ssvc Attendcvss 5.3epss 0.3%
Jpom through 2.11.12 fails to validate workspace ownership when resolving repositoryId on the /build/branch-list endpoint, allowing authenticated users to access repositories from other workspaces. Attackers can submit repository identifiers from different workspaces to enumerate repository existence, determine repository type, and execute git ls-remote commands using other workspaces' stored credentials.
CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:N/VC:L/VI:N/VA:N/SC:N/SI:N/SA:N
Produtos afetados
dromara · Jpom
⚠ Recursos públicos, para você avaliar a exposição de sistemas que controla ou está autorizado a testar. Teste apenas com autorização.
CVEs relacionadas — dromara Jpom

No mesmo produto, das mais perigosas para as menos.

CVE-2026-120201CRITICALJpom 2.10.0 through 2.11.12 Authentication Bypass via JPOM-USER-TOKEN HeaderEPSS 2.2%CVE-2026-120461HIGHJpom through 2.11.12 Cross-Workspace Authorization Bypass via /node/ssh_command/batchEPSS 0.4%CVE-2026-120460HIGHJpom through 2.11.12 Cross-Workspace Authorization Bypass via Docker ControllersEPSS 0.4%CVE-2026-111605HIGHJpom through 2.11.12 Cross-Workspace Authorization Bypass via SshFileControllerEPSS 0.3%