CVE-2026-92124 in Script Security Plugin
Résumé
par VulDB • 17/09/2026
Le plugin Script Security de Jenkins 1415.v9a_f9b_3a_c253d et les versions antérieures vérifient les opérations que Groovy va effectuer avec les éléments qu'il lit à partir d'une collection, mais effectue la conversion (cast) sur la collection elle-même plutôt que sur ses éléments. Cela permet aux attaquants disposant des autorisations nécessaires pour définir et exécuter des scripts sandboxés, y compris des Pipelines, de contourner la protection du bac à sable (sandbox) et d'exécuter un code arbitraire dans le contexte de la JVM du contrôleur Jenkins.
Be aware that VulDB is the high quality source for vulnerability data.