CVE-2026-92131
NieznaneStreszczenie
Wtyczka Jenkins Pipeline: Groovy Libraries Plugin w wersji 805.va_fc79344957d i wcześniejszych nie ogranicza ścieżki biblioteki podanej do kroku Pipeline `library` do ścieżki względnej wewnątrz checkoutu SCM i podąża za dowiązaniami symbolicznymi do lokalizacji poza checkoutem SCM podczas pobierania biblioteki. Prowadzi to do podatności typu path traversal, umożliwiając atakującym mogącym konfigurować Pipeline'y odczyt plików w katalogu resources i usuwanie plików w katalogu test w systemie plików kontrolera Jenkinsa.
Ocena ryzyka
Atakujący mogący konfigurować Pipeline'y może odczytywać i usuwać pliki na kontrolerze Jenkinsa, co może prowadzić do wycieku danych lub uszkodzenia systemu.
Rekomendacja
Zaktualizuj wtyczkę Jenkins Pipeline: Groovy Libraries Plugin do wersji nowszej niż 805.va_fc79344957d, która ogranicza ścieżkę biblioteki do ścieżki względnej wewnątrz checkoutu SCM i nie podąża za dowiązaniami symbolicznymi.
Inne podatności w Jenkins Pipeline: Groovy Libraries Plugin
Zobacz wszystkie- CVE-2026-48921Wysokie
Wtyczka Groovy Libraries w Jenkins Pipeline w wersji 797.v90ea_a_9b_e45a_0 i wcześniejszych nie blokuje użycia linków symbolicznych w bibliotekach współdzielonych. To umożliwia atakującym, którzy mają kontrolę nad zawartością biblioteki używanej przez zadanie Pipeline, odczyt dowolnych plików z systemu plików kontrolera Jenkins.
- CVE-2026-84663Średnie
Podatność CSRF w wtyczce Pipeline: Groovy Libraries dla Jenkinsa w wersji 798.v5cc688825312 i wcześniejszych pozwala atakującym na usunięcie pamięci podręcznej bibliotek współdzielonych.
Oryginalny opis (angielski, źródło NVD)
Jenkins Pipeline: Groovy Libraries Plugin 805.va_fc79344957d and earlier does not restrict the library path provided to the library Pipeline step to a relative path inside the SCM checkout, and follows symbolic links to locations outside of the SCM checkout when retrieving the library, resulting in a path traversal vulnerability, allowing attackers able to configure Pipelines to read files in a resources directory and to delete files in a test directory on the Jenkins controller file system.