Jenkins Pipeline: Multibranch Plugin vulnerable to OS Command Injection

CAO 8.8CVE-2022-25175 · GHSA-pj84-qjm3-77mg · Công bố 15/02/2022 · cập nhật 17/06/2026

Tóm tắt nhanh

CVE-2022-25175 là lỗ hổng mức CAO (CVSS 8.8) ảnh hưởng org.jenkins-ci.plugins.workflow:workflow-multibranch, pipeline (jenkins).
Xác suất bị khai thác trong 30 ngày tới (EPSS): 1.4%, cao hơn 72.6% các lỗ hổng khác.
Cách xử lý: cập nhật lên 707.v71c3f0a_6ccdb hoặc mới hơn.

Gói / sản phẩm	Phiên bản bị ảnh hưởng	Phiên bản đã vá
org.jenkins-ci.plugins.workflow:workflow-multibranch Maven	`< 707.v71c3f0a_6ccdb`	`707.v71c3f0a_6ccdb`
pipeline jenkins	`≤ 706.vd43c65dec013`	Chưa có bản vá

Mô tả

Jenkins Pipeline: Multibranch Plugin 706.vd43c65dec013 and earlier uses distinct checkout directories per SCM for the readTrusted step, allowing attackers with Item/Configure permission to invoke arbitrary OS commands on the controller through crafted SCM contents.

Mô tả của NVD

Jenkins Pipeline: Multibranch Plugin 706.vd43c65dec013 and earlier uses the same checkout directories for distinct SCMs for the readTrusted step, allowing attackers with Item/Configure permission to invoke arbitrary OS commands on the controller through crafted SCM contents.