CVE-2026-92125

Nome do Software Vulnerável e Versões Afetadas Jenkins Script Security Plugin versões anteriores a 1415.v9a f9b 3a c253d

Description O plugin não rejeita a anotação @GroovyASTTransformationClass. Isso permite que usuários com permissão para definir e executar scripts em sandbox, incluindo Pipelines, realizem uma transformação arbitrária de Abstract Syntax Tree (AST) no momento da compilação. Uma transformação AST é um processo que modifica a estrutura do código antes de ser compilado. Ao explorar isso, um invasor pode ignorar as proteções da sandbox e executar código arbitrário no contexto da Java Virtual Machine (JVM) do controlador Jenkins.

Recommendations Atualize o Jenkins Script Security Plugin para uma versão posterior a 1415.v9a f9b 3a c253d.