CVE-2026-84663
ŚrednieCVSS 5.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 1 - wyżej niż 1% wszystkich znanych CVE
Streszczenie
Podatność CSRF w wtyczce Pipeline: Groovy Libraries dla Jenkinsa w wersji 798.v5cc688825312 i wcześniejszych pozwala atakującym na usunięcie pamięci podręcznej bibliotek współdzielonych.
Ocena ryzyka
Atakujący może wymusić na zalogowanym użytkowniku wykonanie niepożądanej akcji usunięcia pamięci podręcznej, co może prowadzić do zakłócenia działania pipeline'ów i zwiększonego obciążenia systemu.
Rekomendacja
Zaktualizuj wtyczkę Pipeline: Groovy Libraries do wersji, która naprawia podatność CSRF. Dodatkowo rozważ włączenie ochrony CSRF w Jenkinsie i ograniczenie dostępu do funkcji administracyjnych.
Inne podatności w Jenkins Pipeline: Groovy Libraries Plugin
Zobacz wszystkie- CVE-2026-92131Średnie
Wtyczka Jenkins Pipeline: Groovy Libraries Plugin w wersji 805.va_fc79344957d i wcześniejszych nie ogranicza ścieżki biblioteki podanej do kroku Pipeline `library` do ścieżki względnej wewnątrz checkoutu SCM i podąża za dowiązaniami symbolicznymi do lokalizacji poza checkoutem SCM podczas pobierania biblioteki. Prowadzi to do podatności typu path traversal, umożliwiając atakującym mogącym konfigurować Pipeline'y odczyt plików w katalogu resources i usuwanie plików w katalogu test w systemie plików kontrolera Jenkinsa.
- CVE-2026-48921Wysokie
Wtyczka Groovy Libraries w Jenkins Pipeline w wersji 797.v90ea_a_9b_e45a_0 i wcześniejszych nie blokuje użycia linków symbolicznych w bibliotekach współdzielonych. To umożliwia atakującym, którzy mają kontrolę nad zawartością biblioteki używanej przez zadanie Pipeline, odczyt dowolnych plików z systemu plików kontrolera Jenkins.
Oryginalny opis (angielski, źródło NVD)
A cross-site request forgery (CSRF) vulnerability in Jenkins Pipeline: Groovy Libraries Plugin 798.v5cc688825312 and earlier allows attackers to delete shared library caches.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS