Jenkins : le bordereau dit important, l'avis range deux fiches en medium

Deux carbones sont datés du même jour, et ils portent le même tampon. October 28, 2026. La puce, section Security, dit Important security fixes. Le lien en dessous dit security advisory, en minuscules. Tu ouvres l'avis, et le mot important n'y est pas. Le titre de l'avis imprime le jour autrement : 2026-10-28. La liste du fond de page dit High treize fois et Medium deux fois. Le carbone du weekly s'arrête au tampon. Celui de la LTS a un second feuillet, que l'avis ne recopie pas.

L'avis annonce des failles dans Jenkins (core). Versions touchées : weekly jusqu'à 2.587 inclus, LTS jusqu'à 2.580.1 inclus. Correctif : weekly 2.588, LTS 2.580.2. La phrase de clôture : toutes les versions antérieures sont considérées touchées, unless otherwise indicated. Le « sauf indication contraire » est dans le corps, pas sur les carbones.

Les numéros se suivent, la page non

Quinze paires. Les CVE vont de CVE-2026-117612 à CVE-2026-117626, sans trou : de 612 à 626 inclus, ça fait quinze. L'ordre imprimé n'est pas l'ordre des numéros. Le corps enchaîne 117612, 117613, 117614, 117615, 117616, 117617, puis saute à 117621, 117622, 117623, revient à 117618, 117619, 117620, et finit par 117624, 117625, 117626. Les trois qui passent devant sont les XSS du navigateur d'espace de travail, des erreurs d'agent, et du menu de débordement du fil d'Ariane. Je ne dis pas que l'ordre est une erreur de mise en page. Je dis que la suite des numéros et la suite de la page ne sont pas la même suite.

La section Severity, en bas, est encore un autre ordre : celui des numéros SECURITY, de 4122 à 4249. Treize lignes High. Deux lignes Medium, SECURITY-4206 et SECURITY-4237. Les fiches du corps disent la même chose, Severity (CVSS): High ou Medium. Aucune fiche ne dit Important. Les deux carbones ne disent que ça.

Les deux medium, pour ne pas les perdre dans le mot du carbone. SECURITY-4206 / CVE-2026-117625 : un point HTTP ne vérifie pas une permission, et un attaquant avec Overall/Read peut obtenir le serveur, le port, le nom d'utilisateur et la liste d'hôtes sans proxy du proxy HTTP configuré. Le correctif exige Overall/Administer. SECURITY-4237 / CVE-2026-117626 : le navigateur de fichiers des espaces de travail et de $JENKINS_HOME/userContent/ identifie mal les chemins qui remontent. Avec Overall/Read, on obtient les noms, tailles et dates de modification des fichiers de $JENKINS_HOME. Avec Item/Workspace, on obtient les noms des jobs qui ont un espace de travail sur le même agent. Le carbone qui dit « important » ne distingue pas ces deux-là des treize high.

Le weekly a une ligne, la LTS a un second feuillet

Le changelog 2.588 imprime la date, la section Security, la phrase, le lien. C'est tout. Pas de configurations testées. Pas d'enhancement. Pas de bug fix.

Le changelog 2.580.2 a la même phrase, puis autre chose. Un bandeau : Tested Configurations, plateformes Linux, Windows, JDKs: 21, 25. Pas de « and » entre 21 et 25. Trois Enhancement : handlebars en v4.7.10 (pull 27510), la bibliothèque ASM la plus récente pour éviter les plaintes d'un scanner (pull 27507), Jetty 12.1.14 via les mises à jour de Winstone et Stapler (pull 27506). Deux Bug fix : adapter un test de fin de vie d'OS pour Ubuntu 22.04 (pull 27464), et garder les couleurs ANSI dans la console live des builds freestyle après une pause, avec le mot colours (pull 27424). L'avis ne nomme ni handlebars, ni ASM, ni Jetty, ni Ubuntu, ni colours. Le carbone weekly non plus. Je ne conclus pas que le binaire 2.588 n'a pas ces changements. Je conclus que son bordereau ne les imprime pas, et que l'avis non plus.

Le « sauf » et le crédit ne sont pas sur le carbone

Trois fiches High ont le même encadré de versions : sur Jenkins 2.539 et plus, LTS 2.541.1 et plus, imposer la Content Security Policy protège. La phrase n'est pas la même. Pour le contournement de type dans les collections (CVE-2026-117613), elle dit que ça atténue the known impact of this vulnerability. Pour le XSS du navigateur d'espace de travail (CVE-2026-117621) et celui du fil d'Ariane (CVE-2026-117623), elle dit que ça atténue this vulnerability, sans known impact. La fiche voisine, le XSS des erreurs d'agent (CVE-2026-117622), n'a pas cet encadré-là. Elle dit que 2.588 et 2.580.2 posent un en-tête Content-Security-Policy restrictif sur les réponses d'échec de remplissage de formulaire. Je ne range pas les quatre dans la même case.

Deux autres encadrés parlent d'un programme de primes. SECURITY-4248 et SECURITY-4249 ont été signalés through the Jenkins Bug Bounty Program sponsored by the European Commission. La section Credit, en bas, ne nomme pas la Commission. Pour ces deux numéros, elle nomme Samy Medjahed (Ap4sh). Les deux phrases peuvent être vraies ensemble, l'une dit le canal, l'autre dit la personne. Le carbone ne dit ni l'un ni l'autre.

Un chiffre qui n'existe que dans l'avis : la vérification de type des éléments de collection échoue par défaut au-delà de 1,000,000 éléments contrôlés pendant une seule opération. La propriété hudson.util.RobustReflectionConverter.fieldValueElementCheckLimit change la limite. Une autre, hudson.util.XStream2.SUPPRESS_TYPE_PERMISSION à true, désactive l'ajout au système de permissions de types. Je ne les recopie pas comme un mode d'emploi. Je dis qu'elles sont dans l'avis, et sur aucun des deux carbones.

✍️ À toi : le papier que tu as eu en main, l'avis, le changelog weekly ou le changelog LTS, et le mot qui y était pour la gravité. Important est le carbone. High et Medium sont l'avis.

L'avis du 2026-10-28 compte quinze failles du cœur, treize High et deux Medium, à corriger en 2.588 et en 2.580.2. Les deux changelogs du October 28, 2026 disent Important security fixes. Le weekly s'arrête à cette ligne. Le LTS ajoute un bandeau JDKs: 21, 25, trois enhancements et deux corrections, dont colours. Les CVE se suivent de 117612 à 117626, et le corps les imprime en faisant passer 621, 622 et 623 devant 618.