Jenkins Script Security Plugin: Missing permission checks allow enumeration of pending and approved classpaths

中 4.3CVE-2026-42519 · GHSA-p334-gfhq-c7w6 · 29/04/2026 公開 · 26/10/2026 更新

要点

CVE-2026-42519 は org.jenkins-ci.plugins:script-security, script security (jenkins) に影響する深刻度「中」 (CVSS 4.3) の脆弱性です。
今後30日間に悪用される確率（EPSS）：0.17%（全脆弱性の 6.9% より高い）。
対処：1402.v94c9ce464861 以降に更新してください。

パッケージ	影響を受けるバージョン	修正済みバージョン
org.jenkins-ci.plugins:script-security Maven	`< 1402.v94c9ce464861`	`1402.v94c9ce464861`
script security jenkins	`≤ 1399.ve6a_66547f6e1`	修正版なし

概要

Jenkins Script Security Plugin versions 1399.ve6a_66547f6e1 and earlier do not perform a permission check in an HTTP endpoint.

This allows attackers with Overall/Read permission to enumerate pending and approved Script Security classpaths.

Script Security Plugin 1402.v94c9ce464861 requires Overall/Administer permission to enumerate pending and approved Script Security classpaths.

NVD の説明

A missing permission check in Jenkins Script Security Plugin 1399.ve6a_66547f6e1 and earlier allows attackers with Overall/Read permission to enumerate pending and approved Script Security classpaths.