CVE-2026-84659
NieznaneStreszczenie
Wtyczka Script Security dla Jenkinsa w wersji 1412.v7737b_3405f86 i wcześniejszych nie egzekwuje sprawdzenia uprawnień w metodzie kontrolującej ustawienie "Force the use of the sandbox globally in the system", co pozwala atakującym na jego wyłączenie przez wiązanie danych Stapler.
Ocena ryzyka
Atakujący może wyłączyć globalny sandbox, co może prowadzić do wykonywania niebezpiecznych skryptów bez ograniczeń, zwiększając ryzyko przejęcia systemu.
Rekomendacja
Zaktualizuj wtyczkę Script Security do wersji, która naprawia brak sprawdzenia uprawnień. Ogranicz dostęp do ustawień globalnych i monitoruj zmiany konfiguracji.
Inne podatności w Jenkins Script Security Plugin
Zobacz wszystkie- CVE-2026-84658Nieznane
Wtyczka Script Security dla Jenkinsa w wersji 1412.v7737b_3405f86 i wcześniejszych używa adnotacji `@DataBoundConstructor` na konstruktorze, który ładuje konfigurację zatwierdzania skryptów, co pozwala atakującym, którzy mogą przesłać określone formularze, na odczytanie tej konfiguracji.
- CVE-2016-3102Wysokie
Wtyczka Script Security w Jenkins przed wersją 1.18.1 może pozwolić zdalnym atakującym na obejście mechanizmu ochrony Groovy sandbox poprzez wtyczkę, która wykonuje bezpośredni dostęp do pól lub operacje get/set na tablicach.
- CVE-2026-57281Wysokie
Wtyczka Jenkins Script Security w wersji 1402.v94c9ce464861 i wcześniejszych nie odrzuca adnotacji transformacji AST Groovy zawierających element extensions, co umożliwia atakującym zdolnym do uruchamiania skryptów Groovy w piaskownicy wykonanie kodu poza piaskownicą, jeśli odpowiedni skrypt znajduje się w ścieżce klas komponentu oceniającego skrypt.
Oryginalny opis (angielski, źródło NVD)
Jenkins Script Security Plugin 1412.v7737b_3405f86 and earlier does not enforce a permission check in the method that controls the "Force the use of the sandbox globally in the system" setting, allowing attackers to disable it through Stapler data binding.