CVE-2026-48921
WysokieCVSS 7.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 36 - wyżej niż 36% wszystkich znanych CVE
Streszczenie
Wtyczka Groovy Libraries w Jenkins Pipeline w wersji 797.v90ea_a_9b_e45a_0 i wcześniejszych nie blokuje użycia linków symbolicznych w bibliotekach współdzielonych. To umożliwia atakującym, którzy mają kontrolę nad zawartością biblioteki używanej przez zadanie Pipeline, odczyt dowolnych plików z systemu plików kontrolera Jenkins.
Ocena ryzyka
Atakujący mogą uzyskać dostęp do wrażliwych danych na serwerze Jenkins, co może prowadzić do poważnych naruszeń bezpieczeństwa i utraty poufności informacji.
Rekomendacja
Zaleca się aktualizację wtyczki Groovy Libraries do najnowszej wersji, która blokuje użycie linków symbolicznych w bibliotekach współdzielonych, aby zminimalizować ryzyko nieautoryzowanego dostępu do plików.
Inne podatności w Jenkins Pipeline: Groovy Libraries Plugin
Zobacz wszystkie- CVE-2026-92131Średnie
Wtyczka Jenkins Pipeline: Groovy Libraries Plugin w wersji 805.va_fc79344957d i wcześniejszych nie ogranicza ścieżki biblioteki podanej do kroku Pipeline `library` do ścieżki względnej wewnątrz checkoutu SCM i podąża za dowiązaniami symbolicznymi do lokalizacji poza checkoutem SCM podczas pobierania biblioteki. Prowadzi to do podatności typu path traversal, umożliwiając atakującym mogącym konfigurować Pipeline'y odczyt plików w katalogu resources i usuwanie plików w katalogu test w systemie plików kontrolera Jenkinsa.
- CVE-2026-84663Średnie
Podatność CSRF w wtyczce Pipeline: Groovy Libraries dla Jenkinsa w wersji 798.v5cc688825312 i wcześniejszych pozwala atakującym na usunięcie pamięci podręcznej bibliotek współdzielonych.
Oryginalny opis (angielski, źródło NVD)
Jenkins Pipeline: Groovy Libraries Plugin 797.v90ea_a_9b_e45a_0 and earlier does not prohibit symbolic links in shared libraries, allowing attackers able to control the content of a library used by a Pipeline job to read arbitrary files on the Jenkins controller filesystem.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS