根据其自我报告的版本号，远程 Web 服务器上运行的相应版本的 Jenkins 插件受到多种漏洞的影响：

  - Jenkins buildgraph-view 插件 1.8 及更早版本未对版本 URL 进行转义，导致能够配置作业或视图的攻击者可利用存储的跨站脚本 （XSS） 漏洞。
    (CVE-2026-48927)

  - Jenkins Email Extension 插件 1933.v45cec755423f 和更早版本允许通过设置“data-inline”属性，在电子邮件内容中将图像内联为“base64”，而对可内联的图像 URL 没有限制，从而允许攻击者控制电子邮件内容以指定图像的“file：”URL，以便从 Jenkins 控制器文件系统读取任意文件。（CVE-2026-48920）

  - Jenkins LDAP 插件 807.v7d7de30930cf 和更早版本遵循 LDAP 引用。（CVE-2026-48916）

  - Jenkins LDAP 插件 807.v7d7de30930cf 和更早版本在未经验证的情况下，反序列化来自 LDAP 参照的数据。（CVE-2026-48917）

  - Jenkins Active Directory 插件 2.41 及更早版本默认遵循 LDAP 参照。（CVE-2026-48918）

  - Jenkins Active Directory 插件 2.41 及较早版本在未经验证的情况下，反序列化来自 LDAP 参照的数据。
    (CVE-2026-48919)

  - Jenkins Pipeline：Groovy Libraries Plugin 797.v90ea_a_9b_e45a_0 及更早版本不禁止共享库中的符号链接，可让攻击者控制管道作业所使用的库内容，以读取 Jenkins 控制器文件系统上的任意文件。（CVE-2026-48921）

  - Jenkins Credentials Binding Plugin 720.v3f6decef43ea_ 和更早版本未正确审查文件和 zip 文件凭据的文件名，允许能够为作业提供凭据以将文件写入节点文件系统上的任意位置的攻击者，如果 Jenkins 配置为允许低权限用户配置用于在内置节点上运行的作业的文件或 zip 文件凭据，则可导致远程代码执行。（CVE-2026-48922）

  - Jenkins AppSpider 插件 1.0.17 及更早版本不会在实现表单验证的方法中执行权限检查，从而允许具有 Overall/Read 权限的攻击者连接到攻击者指定的 URL。
    (CVE-2026-48923)

  - Jenkins Bitbucket OAuth 插件 0.17 及更早版本在登录后未限制重定向 URL，允许攻击者执行钓鱼攻击。（CVE-2026-48924）

  - Jenkins GitHub Integration Plugin 0.7.3 和更早版本中的跨站请求伪造 （CSRF） 漏洞允许攻击者触发 pull 请求的构建。（CVE-2026-48925）

  - Jenkins Multijob 插件 662.vd2e0001f6b_b_d 及更早版本中的跨站请求伪造 （CSRF） 漏洞允许攻击者恢复失败的 Multijob 构建。（CVE-2026-9674）

  - Jenkins Job Import 插件 143.v044a_2e819b_27 和更早版本不会在 HTTP 端点中执行权限检查，从而允许具有 Overall/Read 权限的攻击者枚举存储在 Jenkins 中的凭据的凭据 ID。（CVE-2026-48926）

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

检测

Jenkins 插件多个漏洞（2026-05-27）

high Nessus 插件 ID 317047

版本 1.1

检测

Jenkins 插件多个漏洞 （2026-05-27）

high Nessus 插件 ID 317047

版本 1.1

Jenkins 插件多个漏洞（2026-05-27）