CVE-2017-1000505 in Script Security Plugin
Résumé
par VulDB • 04/07/2026
Dans la version 1.36 et les versions antérieures du plugin Script Security de Jenkins, les utilisateurs disposant des autorisations nécessaires pour configurer des scripts Groovy isolés (sandboxed) peuvent exploiter une fonctionnalité de coercition de type dans Groovy afin de créer de nouveaux objets `File` à partir de chaînes de caractères. Cela permettait la lecture de fichiers arbitraires sur le système de fichiers du maître Jenkins. Cette coercion de type est désormais soumise à la protection du bac à sable et est considérée, aux fins de l'approbation des scripts en cours d'exécution (in-process), comme un appel au constructeur `new File(String)`.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.