Jenkins espone il controller attraverso plugin e workspace fidati
Il punto debole non è il singolo plugin, ma il controller di Jenkins come piano di controllo. Se un job può lasciare contenuto nel workspace e quel contenuto viene poi parsato come fidato, il rischio diventa la lettura di segreti del controller o richieste interne fatte a suo nome; patchare solo il componente visibile non chiude tutto l’esposizione.
Jenkins ha pubblicato 22 vulnerabilità su core e plugin ufficiali, con impatto su weekly fino alla 2.575 e LTS fino alla 2.568.1. Tra queste c’è CVE-2026-70448, una XXE che può partire da contenuto di workspace controllato dall’attaccante e portare a disclosure di dati del controller o SSRF; per alcuni plugin colpiti esistono correzioni, ma per altri al momento della pubblicazione non era disponibile alcun update.
Per chi usa Jenkins con artefatti o contenuti di job non fidati, la superficie reale è il controller e non il solo plugin nominato nell’avviso. Finché la correzione non copre l’intero set di plugin coinvolti, il rischio trasferibile resta quello di segreti del controller e accesso ai servizi interni attraverso dati che sembrano normali pipeline content.