CVE-2016-3102
WysokieStreszczenie
Wtyczka Script Security w Jenkins przed wersją 1.18.1 może pozwolić zdalnym atakującym na obejście mechanizmu ochrony Groovy sandbox poprzez wtyczkę, która wykonuje bezpośredni dostęp do pól lub operacje get/set na tablicach.
Ocena ryzyka
Organizacja może być narażona na nieautoryzowany dostęp do danych lub wykonanie niebezpiecznego kodu, co może prowadzić do poważnych incydentów bezpieczeństwa.
Rekomendacja
Zaleca się aktualizację wtyczki Script Security do wersji 1.18.1 lub nowszej, aby zabezpieczyć się przed tym zagrożeniem.
Inne podatności w Jenkins Script Security plugin
Zobacz wszystkie- CVE-2026-84659Nieznane
Wtyczka Script Security dla Jenkinsa w wersji 1412.v7737b_3405f86 i wcześniejszych nie egzekwuje sprawdzenia uprawnień w metodzie kontrolującej ustawienie "Force the use of the sandbox globally in the system", co pozwala atakującym na jego wyłączenie przez wiązanie danych Stapler.
- CVE-2026-84658Nieznane
Wtyczka Script Security dla Jenkinsa w wersji 1412.v7737b_3405f86 i wcześniejszych używa adnotacji `@DataBoundConstructor` na konstruktorze, który ładuje konfigurację zatwierdzania skryptów, co pozwala atakującym, którzy mogą przesłać określone formularze, na odczytanie tej konfiguracji.
- CVE-2026-57281Wysokie
Wtyczka Jenkins Script Security w wersji 1402.v94c9ce464861 i wcześniejszych nie odrzuca adnotacji transformacji AST Groovy zawierających element extensions, co umożliwia atakującym zdolnym do uruchamiania skryptów Groovy w piaskownicy wykonanie kodu poza piaskownicą, jeśli odpowiedni skrypt znajduje się w ścieżce klas komponentu oceniającego skrypt.
Oryginalny opis (angielski, źródło NVD)
The Script Security plugin before 1.18.1 in Jenkins might allow remote attackers to bypass a Groovy sandbox protection mechanism via a plugin that performs (1) direct field access or (2) get/set array operations.