JFrog CLI: Mögliche Befehlsausführung auf dem Host der CLI
Zusammenfassung
JFrog CLI (jf) in Versionen vor 2.128.0 kann unter bestimmten Konfigurationen eine Befehlsausführung auf dem Host ermöglichen, auf dem die CLI läuft. Die CNA führt Versionen von 0 bis unter 2.128.0 als betroffen, einschliesslich v2.127.0, und NVD bewertet die Schwachstelle mit CVSS 9.0 (Critical) bei Netzwerkzugriff ohne Benutzerinteraktion, aber mit hoher Angriffskomplexität. Das Hauptrisiko besteht auf CI/CD-Runnern, Build-Agenten und Entwicklerrechnern, auf denen die CLI installiert ist.
Betroffen
- JFrog CLI (jfrog-cli) von 0 bis unter 2.128.0 gemäss CNA-Eintrag
- v2.127.0 ist ebenfalls betroffen, gemäss Herstellerupdate
- Die genauen auslösenden Konfigurationen sind in den Quellen nicht beschrieben.
Behoben in
- Auf JFrog CLI v2.128.0 oder neuer aktualisieren.
- v2.127.0, die erste Version mit einem Fix, ist unvollständig und darf nicht verwendet werden.
Umgehung
Unbekannt.
Ausnutzung
- Die Quellen enthalten keine Hinweise auf eine Ausnutzung in freier Wildbahn.
- CISA-SSVC-Bewertung: Ausnutzung keine, nicht automatisierbar, totale technische Auswirkung.
- Kein öffentlicher Proof of Concept gefunden.
- Der EPSS-Score ist niedrig (0.0034).
Unsere Empfehlung
- Alle Systeme mit dem Befehl jf inventarisieren, einschliesslich CI-Runner und Entwicklerrechner, und die Version erfassen.
- Jede Installation mit Version v2.127.0 oder älter auf v2.128.0 oder neuer aktualisieren.
- Paketquellen von Linux-Distributionen (zum Beispiel openSUSE, Nixpkgs) auf aktualisierte Builds prüfen.
- Auf gemeinsam genutzten Build-Systemen bis zur Behebung einschränken, wer die CLI ausführen darf.
- NVD- und JFrog-Advisory-Einträge beobachten, da der NVD-Status noch Awaiting Analysis lautet und die CWE-Zuordnung zwischen den Quellen abweicht (CWE-88 bzw. CWE-77).
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- JFrog Security Advisories docs.jfrog.com
- JFrog CLI GitHub releases github.com
- JFrog CLI Security fix pull request #918 github.com
- VulDB entry CVE-2026-92892 vuldb.com
- Nixpkgs issue #574303 github.com
- openSUSE advisory OPENSUSE-SU-2026:12130-1 vulners.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 08:12.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.