Tento report byl přeložen pomocí AI; překlad zatím nikdo nezkontroloval. Původní jazyk: slovenština.
[TLP:CLEAR] Jenkins opravuje 30 zranitelností v pluginech
Jenkins upozorňuje na 30 zranitelností ve svých pluginech. Nejzávažnější z nich jsou popsány níže, zbytek naleznete na [1]. Pluginy a jejich opravené verze (pokud jsou k dispozici) [1]: Active Directory Plugin – 2.41.2 Assembla Plugin – oprava není v době publikace k dispozici Bitbucket Push and Pull Request Plugin – 3.3.9 Contrast Continuous Application Security Plugin – 3.12 EC2 Fleet Plugin – 4.2.3.540.va_6eedb_7b_c112 External Workspace Manager Plugin – 1.4.0 FitNesse Plugin – oprava není v době publikace k dispozici Git client Plugin – 6.6.1 Git Parameter Plugin – 462.463.v496a_59f698e5 Gitee Plugin – 1292.v2559f2f3f2c0 GitHub Branch Source Plugin – 1967.1970.vd86979736546 Job Configuration History Plugin – 1367.vc8fa_b_15101dc MCP Server Plugin – 0.178.vffe5a_e770f3b_ OWASP ZAP Plugin – oprava není v době publikace k dispozici Pipeline: Groovy Plugin – 4331.4333.v50a_b_076c5199 Priority Sorter Plugin – 936.937.v5581d0b_2ccb_a_ Script Security Plugin – 1402.1405.vc96e74964250 Zowe zDevOps Plugin – oprava není v době publikace k dispozici
Autentizovanému vzdálenému útočníkovi s nízkými oprávněními je v pluginu Script Security umožněno obejít ochranu sandboxu v důsledku neošetřeného implicitního přetypování prvků kolekce v typovaném for cyklu, volat konstruktory libovolných typů bez kontroly a spustit libovolný kód na Jenkins controlleru [1].
Zranitelnost se nachází v produktu:
- *:Script Security Plugin; <=1402.v94c9ce464861
CVSS: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
Více informací:
- CVE-2026-57280 na cve.org, NVD
- CWE-184: Incomplete List of Disallowed Inputs na cwe.mitre.org
Zranitelnost byla veřejně oznámena 24. 6. 2026.
Autentizovanému vzdálenému útočníkovi s nízkými oprávněními je v pluginu External Workspace Manager v důsledku neošetření segmentů .. při validaci cesty k pracovnímu prostoru umožněno uniknout z nakonfigurovaného bodu připojení disku, číst libovolné soubory na souborovém systému Jenkins controlleru a následně spustit kód [1].
Zranitelnost se nachází v produktu:
- *:External Workspace Manager Plugin; <=1.3.2
CVSS: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
Více informací:
- CVE-2026-57296 na cve.org, NVD
- CWE-22: Improper Limitation of a Pathname to a Restricted Directory ('Path Traversal') na cwe.mitre.org
Zranitelnost byla veřejně oznámena 24. 6. 2026.
Autentizovanému vzdálenému útočníkovi je v pluginu Script Security umožněno spustit kód mimo sandbox, pokud se na classpath komponenty vyhodnocující skript nachází vhodný Groovy skript [1].
Zranitelnost se nachází v produktu:
- *:Script Security Plugin; <=1402.v94c9ce464861
CVSS: CVSS:3.1/AV:N/AC:H/PR:L/UI:N/S:U/C:H/I:H/A:H
Více informací:
- CVE-2026-57281 na cve.org, NVD
- CWE-693: Protection Mechanism Failure na cwe.mitre.org
Zranitelnost byla veřejně oznámena 24. 6. 2026.
Za CESNET, z.s.p.o. Henrieta Paločková dne 25. 6. 2026.