根据其自我报告的版本号，远程 Web 服务器上运行的相应版本的 Jenkins 插件受到多种漏洞的影响：

  - Jenkins Applitools Eyes Plugin 1.16.5 及更早版本会将未加密的 Applitools API 密钥存储在 Jenkins 控制器上的作业 config.xml 文件中，因此具有“项目/扩展读取”权限或 Jenkins 控制器文件系统访问权限的用户可查看这些密钥。(CVE-2025-53742)

  - Jenkins Applitools Eyes Plugin 1.16.5 及更早版本未对构建页面的 Applitools URL 转义，导致存储型跨站脚本 (XSS) 漏洞，具有“项目/配置”权限的攻击者可利用此漏洞来执行攻击。(CVE-2025-53658)

  - Jenkins Credentials Binding Plugin 687.v619cb_15e923f 和更早版本未正确屏蔽（即替换为星号）写入构建日志的异常错误消息中出现的凭据。
    (CVE-2025-53650)

  - Jenkins HTML Publisher Plugin 425 和更早版本会在 Publish HTML 报告后构建步骤中显示包含存档文件绝对路径的日志消息，从而在构建日志中泄露 Jenkins 控制器文件系统的相关信息。(CVE-2025-53651)

  - Jenkins Git Parameter Plugin 439.vb_0e46ca_14534 和更早版本不会验证提交到版本的 Git 参数值是否匹配所提供的一个选择，从而允许具有“项目/构建”权限的攻击者将任意值注入 Git 参数。(CVE-2025-53652)

  - Jenkins Aqua Security Scanner Plugin 3.2.8 及更早版本会将未加密的 Applitools API 扫描程序令牌存储在 Jenkins 控制器上的作业 config.xml 文件中，因此具有“项目/扩展读取”权限或 Jenkins 控制器文件系统访问权限的用户可查看这些令牌。(CVE-2025-53653)

  - Jenkins Statistics Gatherer Plugin 2.0.3 及更低版本会将其全局配置文件中未加密的 AWS Secret Key 存储在 Jenkins 控制器上，因此拥有 Jenkins 控制器文件系统访问权限的用户可在此查看此密钥。(CVE-2025-53654)

  - Jenkins Statistics Gatherer Plugin 2.0.3 及更早版本未对全局配置表单上的 AWS Secret Key 进行掩码，这增加了攻击者观察和捕获该密钥的可能性。(CVE-2025-53655)

  - Jenkins ReadyAPI Functional Testing Plugin 1.11 及更早版本会将未加密的 SLM 许可访问密钥、客户端密钥和密码存储在 Jenkins 控制器上的作业 config.xml 文件中，因此具有“项目/扩展读取”权限或 Jenkins 控制器文件系统访问权限的用户可查看这些密钥和密码。
    (CVE-2025-53656)

  - Jenkins ReadyAPI Functional Testing Plugin 1.11 及更低版本未对作业配置表单上显示的 SLM 许可访问密钥、客户端密钥和密码进行掩码，这增加了攻击者观察和捕获这些密钥和密码的可能性。(CVE-2025-53657)

  - Jenkins Applitools Eyes Plugin 1.16.5 及更低版本未对作业配置表单上显示的 Applitools API 密钥进行掩码，这增加了攻击者观察和捕获密钥的可能性。(CVE-2025-53743)

  - Jenkins QMetry Test Management Plugin 1.13 及更早版本会将未加密的  Qmetry Automation API 密钥存储在 Jenkins 控制器上的作业 config.xml 文件中，因此具有“项目/扩展读取”权限或 Jenkins 控制器文件系统访问权限的用户可查看这些密钥。(CVE-2025-53659)

  - Jenkins QMetry Test Management Plugin 1.13 及更低版本未对作业配置表单上显示的 Qmetry Automation API 密钥进行掩码，这增加了攻击者观察和捕获密钥的可能性。
    (CVE-2025-53660)

  - Jenkins Testsigma Test Plan run Plugin 1.6 及更低版本未对作业配置表单上显示的 Testsigma API 密钥进行掩码，这增加了攻击者观察和捕获密钥的可能性。
    (CVE-2025-53661)

  - Jenkins IFTTT Build Notifier Plugin 1.2 及更早版本会将未加密的 IFTTT Maker Channel 密钥存储在 Jenkins 控制器上的作业 config.xml 文件中，因此具有“项目/扩展读取”权限或 Jenkins 控制器文件系统访问权限的用户可查看这些密钥。(CVE-2025-53662)

  - Jenkins IBM Cloud DevOps Plugin 2.0.16 及更低版本会将未加密的 SonarQube 身份验证令牌存储在 Jenkins 控制器上的作业 config.xml 文件中，因此具有“项目/扩展读取”权限或 Jenkins 控制器文件系统访问权限的用户可查看这些令牌。(CVE-2025-53663)

  - Jenkins Apica Loadtest Plugin 1.10 及更低版本会将未加密的 Loadtest LTP 身份验证令牌存储在 Jenkins 控制器上的作业 config.xml 文件中，因此具有“项目/扩展读取”权限或 Jenkins 控制器文件系统访问权限的用户可查看这些令牌。(CVE-2025-53664)

  - Jenkins Apica Loadtest Plugin 1.10 及更低版本未对作业配置表单上显示的 Apica Loadtest LTP 身份验证令牌进行掩码，这增加了攻击者观察和捕获令牌的可能性。(CVE-2025-53665)

  - Jenkins Dead Man's Snitch Plugin 0.1 及更低版本会将未加密的 Snitch 令牌存储在 Jenkins 控制器上的作业 config.xml 文件中，因此具有“项目/扩展读取”权限或 Jenkins 控制器文件系统访问权限的用户可查看这些令牌。(CVE-2025-53666)

  - Jenkins Dead Man's Snitch Plugin 0.1 未对作业配置表单上显示的 Dead Man's Snitch 令牌进行掩码，这增加了攻击者观察和捕获令牌的可能性。(CVE-2025-53667)

  - Jenkins VAddy Plugin 1.2.8 及更早版本会将未加密的 Vaddy API 验证密钥存储在 Jenkins 控制器上的作业 config.xml 文件中，因此具有“项目/扩展读取”权限或 Jenkins 控制器文件系统访问权限的用户可查看这些密钥。(CVE-2025-53668)

  - Jenkins VAddy Plugin 1.2.8 及更低版本未对作业配置表单上显示的 Vaddy API 验证密钥进行掩码，这增加了攻击者观察和捕获密钥的可能性。(CVE-2025-53669)

  - Jenkins Nouvola DiveCloud Plugin 1.08 及更早版本会将未加密的 DiveCloud API 密钥和凭据加密密钥存储在 Jenkins 控制器上的作业 config.xml 文件中，因此具有“项目/扩展读取”权限或 Jenkins 控制器文件系统访问权限的用户可查看这些密钥。(CVE-2025-53670)

  - Jenkins Nouvola DiveCloud Plugin 1.08 及更低版本未对作业配置表单上显示的 DiveCloud API 密钥和凭据加密密钥进行掩码，这增加了攻击者观察和捕获密钥的可能性。(CVE-2025-53671)

  - Jenkins Kryptowire Plugin 0.2 及更低版本会将其全局配置文件中未加密的 Kryptowire API 密钥存储在 Jenkins 控制器上，因此拥有 Jenkins 控制器文件系统访问权限的用户可在此查看此密钥。(CVE-2025-53672)

  - Jenkins Sensedia Api Platform tools Plugin 1.0 会将其全局配置文件中未加密的 Sensedia API Manager 集成令牌存储在 Jenkins 控制器上，因此拥有 Jenkins 控制器文件系统访问权限的用户可在此查看此令牌。(CVE-2025-53673)

  - Jenkins Sensedia Api Platform tools Plugin 1.0 未对全局配置表单上的 Sensedia API Manager 集成令牌进行掩码，这增加了攻击者观察和捕获此令牌的可能性。
    (CVE-2025-53674)

  - Jenkins Warrior Framework Plugin 1.2 及更早版本会将未加密的密码存储在 Jenkins 控制器上的作业 config.xml 文件中，因此具有“项目/扩展读取”权限或 Jenkins 控制器文件系统访问权限的用户可查看这些密码。(CVE-2025-53675)

  - Jenkins Xooa Plugin 0.0.7 及更早版本会将其全局配置文件中未加密的 Xooa 部署令牌存储在 Jenkins 控制器上，因此拥有 Jenkins 控制器文件系统访问权限的用户可在此查看此令牌。(CVE-2025-53676)

  - Jenkins Xooa Plugin 0.0.7 及更早版本未对全局配置表单上的 Xooa 部署令牌进行掩码，这增加了攻击者观察和捕获该令牌的可能性。(CVE-2025-53677)

  - Jenkins User1st uTester Plugin 1.1 及更早版本会将其全局配置文件中未加密的 uTester JWT 令牌存储在 Jenkins 控制器上，因此拥有 Jenkins 控制器文件系统访问权限的用户可在此查看此令牌。(CVE-2025-53678)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

检测

Jenkins 插件的多个漏洞 (2025-07-09)

medium Nessus 插件 ID 241693

版本 1.1