CVE-2026-84658
NieznaneStreszczenie
Wtyczka Script Security dla Jenkinsa w wersji 1412.v7737b_3405f86 i wcześniejszych używa adnotacji `@DataBoundConstructor` na konstruktorze, który ładuje konfigurację zatwierdzania skryptów, co pozwala atakującym, którzy mogą przesłać określone formularze, na odczytanie tej konfiguracji.
Ocena ryzyka
Atakujący może uzyskać dostęp do konfiguracji zatwierdzania skryptów, co może ujawnić informacje o zatwierdzonych skryptach i potencjalnie umożliwić dalsze ataki.
Rekomendacja
Zaktualizuj wtyczkę Script Security do wersji, która naprawia tę podatność. Ogranicz możliwość przesyłania formularzy do zaufanych użytkowników.
Inne podatności w Jenkins Script Security Plugin
Zobacz wszystkie- CVE-2026-84659Nieznane
Wtyczka Script Security dla Jenkinsa w wersji 1412.v7737b_3405f86 i wcześniejszych nie egzekwuje sprawdzenia uprawnień w metodzie kontrolującej ustawienie "Force the use of the sandbox globally in the system", co pozwala atakującym na jego wyłączenie przez wiązanie danych Stapler.
- CVE-2016-3102Wysokie
Wtyczka Script Security w Jenkins przed wersją 1.18.1 może pozwolić zdalnym atakującym na obejście mechanizmu ochrony Groovy sandbox poprzez wtyczkę, która wykonuje bezpośredni dostęp do pól lub operacje get/set na tablicach.
- CVE-2026-57281Wysokie
Wtyczka Jenkins Script Security w wersji 1402.v94c9ce464861 i wcześniejszych nie odrzuca adnotacji transformacji AST Groovy zawierających element extensions, co umożliwia atakującym zdolnym do uruchamiania skryptów Groovy w piaskownicy wykonanie kodu poza piaskownicą, jeśli odpowiedni skrypt znajduje się w ścieżce klas komponentu oceniającego skrypt.
Oryginalny opis (angielski, źródło NVD)
Jenkins Script Security Plugin 1412.v7737b_3405f86 and earlier uses the `@DataBoundConstructor` annotation on a constructor that loads script approval configuration, allowing attackers able to submit certain forms to read that configuration.