Remote code execution vulnerability in Jenkins Templating Engine Plugin

高 8.8CVE-2021-21646 · GHSA-p6qc-37hq-wqr6 · 21/04/2021 公開 · 17/06/2026 更新

要点

CVE-2021-21646 は org.jenkins-ci.plugins:templating-engine, templating engine (jenkins) に影響する深刻度「高」 (CVSS 8.8) の脆弱性です。
今後30日間に悪用される確率（EPSS）：1.7%（全脆弱性の 77.9% より高い）。
対処：2.2 以降に更新してください。

パッケージ	影響を受けるバージョン	修正済みバージョン
org.jenkins-ci.plugins:templating-engine Maven	`< 2.2`	`2.2`
templating engine jenkins	`≤ 2.1`	修正版なし

概要

Jenkins Templating Engine Plugin 2.1 and earlier does not protect its pipeline configurations using Script Security Plugin.

This vulnerability allows attackers with Job/Configure permission to execute arbitrary code in the context of the Jenkins controller JVM.

Jenkins Templating Engine Plugin 2.2 integrates with Script Security Plugin to protect its pipeline configurations.

NVD の説明

Jenkins Templating Engine Plugin 2.1 and earlier does not protect its pipeline configurations using Script Security Plugin, allowing attackers with Job/Configure permission to execute arbitrary code in the context of the Jenkins controller JVM.