Il Script Security Plugin è un componente di Jenkins che esamina e approva gli script forniti dagli utenti prima che vengano eseguiti. È progettato per mantenere Groovy e altre logiche incorporate all'interno di una sandbox finché un amministratore o una policy affidabile non consente autorizzazioni più ampie. In pratica, aiuta a separare il codice di pipeline non affidabile dal controller di Jenkins, dove sono concentrati segreti, configurazione delle build e logica dei plugin.
Questo è importante perché l'approvazione degli script è un confine di fiducia. Se il plugin o la policy che lo circonda vengono aggirati, un aggressore può trasformare uno script limitato in esecuzione di codice sul lato controller, leggere credenziali o manipolare job e file. I difensori lo usano per applicare il principio del privilegio minimo, ridurre il rischio di uscita dalla sandbox e rendere verificabile l'esecuzione degli script. In ambienti reali, i team di sicurezza dovrebbero limitare chi può inviare script, esaminare con attenzione le approvazioni e applicare rapidamente le patch al plugin perché le vulnerabilità in quest'area possono interessare l'intero piano di controllo CI/CD.