В Jenkins нашли пять способов обхода песочницы Groovy

Jenkins выпустил пять рекомендаций по Script Security Plugin от 16 сентября 2026 года: каждая описывает отдельный путь от скрипта Pipeline в песочнице до выполнения произвольного кода в JVM контроллера. Уязвимости CVE-2026-92122, 92123, 92124, 92125 и 92129 оценены в 8.8 и 7.5, затронуты версии 1415.v9a_f9b_3a_c253d и старше.

• Пять CVE с оценками 8.8 и 7.5 затрагивают Script Security Plugin до 1415.v9a_f9b_3a_c253d
• Четыре дыры — пробелы перехвата: прокси, null-получатель, касты коллекций и методы, добавленные в рантайме
• Пятая — аннотация @GroovyASTTransformationClass, выполняющая код на этапе компиляции
• Для эксплуатации достаточно прав на создание и запуск Pipeline-скриптов