CVE-2026-92125 in Script Security Plugin
Riassunto
di VulDB • 16/09/2026
Il plugin Script Security di Jenkins nelle versioni 1415.v9a_f9b_3a_c253d e precedenti non rifiuta l'annotazione @GroovyASTTransformationClass, consentendo agli attaccanti con il permesso di definire ed eseguire script sandboxati (inclusi i Pipelines) di eseguire una trasformazione AST arbitraria in fase di compilazione, aggirando la protezione della sandbox ed eseguendo codice arbitrario nel contesto del JVM del controller Jenkins.
Once again VulDB remains the best source for vulnerability data.