CVE-2026-70431
WysokieCVSS 8.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 30 - wyżej niż 30% wszystkich znanych CVE
Streszczenie
Jenkins Multijob Plugin w wersji 669.v9d96a_d9c71b_0 i wcześniejszych udostępnia funkcje skryptowe Groovy, które nie integrują się z Script Security Plugin, co pozwala atakującym z uprawnieniami Item/Create lub Item/Configure na wykonanie dowolnego kodu w kontekście JVM kontrolera Jenkinsa.
Ocena ryzyka
Osoby z ograniczonymi uprawnieniami mogą wykonać dowolny kod na serwerze Jenkins, co może prowadzić do eskalacji uprawnień i pełnego przejęcia kontroli nad serwerem.
Rekomendacja
Zaleca się aktualizację wtyczki Multijob Plugin do wersji, która integruje się z Script Security Plugin. Należy również ograniczyć uprawnienia Item/Create i Item/Configure tylko do zaufanych użytkowników.
Inne podatności w Jenkins Multijob Plugin
Zobacz wszystkie- CVE-2026-70432Wysokie
Podatność CSRF w Jenkins Multijob Plugin w wersji 669.v9d96a_d9c71b_0 i wcześniejszych pozwala atakującym na wykonanie dowolnego kodu w kontekście JVM kontrolera Jenkinsa.
- CVE-2026-9674Średnie
Wtyczka Jenkins Multijob Plugin w wersji 662.vd2e0001f6b_b_d i wcześniejszych zawiera podatność typu cross-site request forgery (CSRF). Umożliwia ona atakującym wznowienie nieudanych kompilacji Multijob.
Oryginalny opis (angielski, źródło NVD)
Jenkins Multijob Plugin 669.v9d96a_d9c71b_0 and earlier provides Groovy scripting features that do not integrate with Script Security Plugin, allowing attackers with Item/Create or Item/Configure permission to execute arbitrary code in the context of the Jenkins controller JVM.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS