CVE-2026-57284
Publiée le 2026-06-24 · Dernière modification le 2026-10-25
Les instances Jenkins utilisant le plugin Groovy (version 4331.v9d06ed4658ff et versions antérieures) sont concernées. Un attaquant disposant d'un compte avec des privilèges limités peut utiliser le « Pipeline Snippet Generator » pour instancier des types de configuration système ou de tâche non autorisés, permettant potentiellement de modifier des paramètres internes. Cette opération peut être effectuée via le réseau sans interaction de l'utilisateur, à condition que l'attaquant possède déjà des identifiants de connexion de base.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
Jenkins Pipeline: Groovy Plugin 4331.v9d06ed4658ff and earlier does not restrict the types that can be instantiated through the Pipeline Snippet Generator, allowing attackers to instantiate types related to job or system configuration other than Pipeline steps.