根据其自我报告的版本号，远程 Web 服务器上运行的相应版本的 Jenkins 插件受到多种漏洞的影响：

  - 在 Jenkins Templating Engine 插件 2.5.3 及更低版本中，定义在文件夹中的库不受沙盒保护，这使得拥有 Item/Configure 权限的攻击者能够在 Jenkins 控制器 JVM 的上下文中执行任意代码。(CVE-2025-31722)

  - Jenkins Simple Queue 插件 1.4.6 及更早版本中存在跨站请求伪造 (CSRF) 漏洞，攻击者可利用该漏洞更改和重置构建队列的顺序。(CVE-2025-31723)

  - Jenkins Cadence vManager 插件 4.0.0-282.v5096a_c2db_275 及更早版本会将 Verisium Manager 的 vAPI 密钥以未加密形式存储在 Jenkins 控制器上的任务 config.xml 文件中，拥有扩展读取权限或对 Jenkins 控制器文件系统访问权限的用户可以查看这些密钥。(CVE-2025-31724)

  - Jenkins monitor-remote-job 插件 1.0 版会将未加密的密码存储在 Jenkins 控制器上的作业 config.xml 文件中，因此具有扩展读取权限或 Jenkins 控制器文件系统访问权限的用户可查看这些密码。(CVE-2025-31725)

  - Jenkins Stack Hammer 插件 1.0.6 及更早版本会将未加密的 Stack Hammer API 密钥存储在 Jenkins 控制器上的作业 config.xml 文件中，因此具有 Extended Read 权限或 Jenkins 控制器文件系统访问权限的用户可查看这些标记。(CVE-2025-31726)

  - Jenkins AsakusaSatellite 插件 0.1.1 及更早版本会将未加密的 AsakusaSatellite API 密钥存储在 Jenkins 控制器上的作业 config.xml 文件中，因此具有 Item/Extended Read 权限或 Jenkins 控制器文件系统访问权限的用户可查看这些标记。(CVE-2025-31727)

  - Jenkins AsakusaSatellite 插件 0.1.1 及更低版本未对作业配置表单上显示的 AsakusaSatellite API 密钥进行掩码，这增加了攻击者观察和捕获令牌的可能性。
    (CVE-2025-31728)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

检测

Jenkins 插件多个漏洞（2025 年 4 月 2 日）

high Nessus 插件 ID 233778

版本 1.1