Jenkins 插件多个漏洞 （2026-06-24）
medium Nessus 插件 ID 322478
语言：
简介
远程 Web 服务器主机上运行的应用程序受到多个漏洞影响描述
根据其自我报告的版本号，远程 Web 服务器上运行的相应版本的 Jenkins 插件受到多种漏洞的影响：- Jenkins OWASP ZAP 插件 1.0.7 及较早版本在 Jenkins 控制器上执行构建操作，而不是在分配的代理上执行构建操作，从而允许具有 Item/Configure 权限的攻击者在 Jenkins 控制器上执行任意代码。（CVE-2026-57301）
- Jenkins 脚本安全插件 1402.v94c9ce464861 和更早版本未拦截应用至沙盒 Groovy 脚本中类型化 for-each 循环元素的隐式类型转换，从而允许攻击者可提供此类脚本来调用任意构造函数并绕过沙盒保护。（CVE-2026-57280）
- Jenkins Script Security Plugin 1402.v94c9ce464861 和更早版本不拒绝携带扩展成员的 Groovy AST 转换批注，因此如果评估该脚本的组件的类路径中存在合适的脚本，则能够运行沙盒 Groovy 脚本的攻击者可以在沙盒外部执行代码。（CVE-2026-57281）
- Jenkins Git 客户端插件 6.6.0 以及更早版本在嵌入到生成的 SSH 包装程序脚本中时未对工作区目录名称进行正确转义，从而允许能够控制版本工作目录名称的攻击者在代理上执行任意操作系统命令。（CVE-2026-57282）
- Jenkins Pipeline： Groovy 插件 4331.v9d06ed4658ff 和更早版本中的跨站请求伪造 （CSRF） 漏洞允许攻击者通过管道片段生成器实例化与工作或系统配置相关的类型，而不是管道步骤。（CVE-2026-57283）
- Jenkins Pipeline：Groovy 插件 4331.v9d06ed4658ff 及更早版本不限制可通过管道片段发生器实例化的类型，允许攻击者实例化与管道步骤以外的作业或系统配置相关的类型。（CVE-2026-57284）
- Jenkins GitHub Branch Source Plugin 1967.1969.v205fd594c821 和更早版本中缺少权限检查，允许具有 Overall/Read 权限的攻击者获取全局插件配置中配置的 GitHub Enterprise 服务器的 URL。（CVE-2026-57285）
- Jenkins Git Parameter Plugin 462.vdcf3df2ed2ca_ 及更早版本中缺少权限检查，允许具有 Item/Read 权限的攻击者获取关于作业所使用的 SCM 存储库的信息，例如分支名称、标签名称和修订元数据。（CVE-2026-57286）
- Jenkins Job Configuration History 插件 1356.ve360da_6c523a_ 及更早版本在显示历史作业和代理配置时不会对密码的加密值进行加密，从而允许具有扩展读取权限的攻击者查看原本会被编辑的加密密码值。
(CVE-2026-57287)
- Jenkins Active Directory 插件 2.41.1 及更早版本在 Windows 本机 （ADSI） 认证路径中构建 LDAP 搜索过滤器之前未转义用户名，从而允许未经认证的攻击者注入 LDAP 通配符以枚举目录条目，并在不知道确切用户名的情况下认证为他们知道密码的匹配用户。（CVE-2026-57288）
- Jenkins MCP 服务器插件 0.177.v629fdb_2557fe 及更早版本中缺少权限检查，允许具有 Item/Read 权限的攻击者读取其可访问之作业的管道重播脚本。（CVE-2026-57300）
- Jenkins Bitbucket Push and Pull Request 插件 3.3.8 及更早版本会无条件禁用 SSL/TLS 证书和主机名验证，以便将持有者令牌认证请求发送到配置的 Bitbucket Server 端点，从而允许攻击者拦截网络流量以捕获令牌。（CVE-2026-57289）
- Jenkins Priority Sorter 插件 936.v2c01c6b_84449 及更早版本中的跨站请求伪造 （CSRF） 漏洞允许攻击者覆盖全局作业优先级配置。（CVE-2026-57290）
- Jenkins Gitee 插件 1288.v18b_deb_c9069b_ 及更早版本中缺少权限检查，允许具有 Overall/Read 权限的攻击者使用通过其他方法获取的攻击者指定的凭据 ID 连接到攻击者指定的 URL。（CVE-2026-57291）
- Jenkins Gitee 插件 1288.v18b_deb_c9069b_ 及更早版本中的跨站请求伪造 （CSRF） 漏洞允许攻击者使用通过其他方法获取的攻击者指定凭据 ID 连接到攻击者指定的 URL。（CVE-2026-57292）
- Jenkins Gitee Plugin 1288.v18b_deb_c9069b_ 和更早版本中的错误权限检查允许具有全局 Item/Configure 权限（同时对任何特定作业缺少 Item/Configure 权限）的攻击者枚举存储在 Jenkins 中的凭据的凭据 ID。（CVE-2026-57293）
- Jenkins EC2 Fleet Plugin 4.2.3.539.v8fedff2a_81c3 及更早版本中缺少权限检查，允许具有 Overall/Read 权限的攻击者使用通过其他方法获取的攻击者指定的凭据 ID 连接到攻击者指定的 URL，从而捕获存储在 Jenkins 中的 AWS 凭据。
(CVE-2026-57294)
- Jenkins EC2 Fleet Plugin 4.2.3.539.v8fedff2a_81c3 及更早版本中的跨站请求伪造 （CSRF） 漏洞允许攻击者使用通过其他方法获取的攻击者指定凭据 ID 连接到攻击者指定的 URL，从而捕获存储在 Jenkins 中的 AWS 凭据。（CVE-2026-57295）
- Jenkins External Workspace Manager 插件 1.3.2 及更早版本不拒绝为 exwsAllocate Pipeline 步骤提供的自定义工作区路径中的路径遍历序列，允许具有 Item/Configure 权限的攻击者读取 Jenkins 控制器文件系统上的任意文件，这可导致远程代码执行。（CVE-2026-57296）
- Jenkins Contrast Continuous Application Security 插件 3.11 及更早版本中缺少权限检查，允许具有 Overall/Read 权限的攻击者使用攻击者指定的用户名、API 密钥和服务密钥连接到攻击者指定的 URL。（CVE-2026-57297）
- Jenkins Contrast Continuous Application Security 插件 3.11 和更早版本中的跨站请求伪造 （CSRF） 漏洞允许攻击者使用攻击者指定的用户名、API 密钥和服务密钥使 Jenkins 连接到攻击者指定的 URL。（CVE-2026-57298）
- Jenkins Contrast Continuous Application Security 插件 3.11 及更早版本中缺少权限检查，允许具有 Overall/Read 权限的攻击者枚举配置的 Contrast 元数据的名称。
(CVE-2026-57299)
- Jenkins FitNesse 插件 1.36 及先前版本将未加密的密码存储在 Jenkins 控制器上的作业config.xml文件中，具有扩展读取权限或 Jenkins 控制器文件系统访问权限的用户可在其中查看这些密码。（CVE-2026-57302）
- Jenkins Assembla 插件 1.4 及更早版本未配置其 XML 解析器以防止 XML 外部实体 （XXE） 攻击，允许攻击者能够控制已配置 Assembla 服务器的响应，以从 Jenkins 控制器提取密码或执行服务器端请求伪造。（CVE-2026-57303）
- Jenkins Assembla 插件 1.4 及较早版本中缺少权限检查，允许具有 Overall/Read 权限的攻击者使用攻击者指定的用户名和密码连接到攻击者指定的 URL。
(CVE-2026-57304)
- Jenkins Assembla 插件 1.4 及更早版本中的跨站请求伪造 （CSRF） 漏洞允许攻击者使用攻击者指定的用户名和密码连接到攻击者指定的 URL。
(CVE-2026-57305)
- Jenkins Zowe zDevOps Plugin 1.1.3.50.ve350c9b_450b_1 和更早版本中的跨站请求伪造 （CSRF） 漏洞允许攻击者使用通过其他方法获取的攻击者指定凭据 ID 连接到攻击者指定的 URL，从而捕获存储在 Jenkins 中的凭据。（CVE-2026-57306）
- Jenkins Zowe zDevOps 插件 1.1.3.50.ve350c9b_450b_1 和更早版本中缺少权限检查，允许具有 Overall/Read 权限的攻击者使用通过其他方法获取的攻击者指定的凭据 ID 连接到攻击者指定的 URL，从而捕获存储在 Jenkins 中的凭据。（CVE-2026-57307）
请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。
解决方案
将 Jenkins 插件更新到以下版本：- Active Directory 插件升级到版本或更高版本2.41.2
- Assembla 插件：参见供应商公告
- 将 Bitbucket Push and Pull Request 插件升级到 3.3.9 版或更高版本
- Contrast Continuous Application Security 插件 3.12 或更高版本
- EC2 Fleet 插件升级到 4.2.3.540.va_6eedb_7b_c112 或更高版本
- 外部工作区管理器插件更新到版本或更高版本1.4.0
- FitNesse 插件：参见供应商公告
- Git 客户端插件升级到版本或更高版本6.6.1
- Git Parameter 插件升级到 462.463.v496a_59f698e5 或更高版本
- Gitee 插件升级到 1292.v2559f2f3f2c0 或更高版本
- GitHub Branch Source Plugin 升级到 1967.1970.vd86979736546 或更高版本
- 作业配置历史记录 插件至 1367.vc8fa_b_15101dc 或更高版本
- MCP 服务器插件至版本 0.178.vffe5a_e770f3b_ 或更高版本
- OWASP ZAP 插件：参见供应商公告
- 管道：Groovy 插件升级到 4331.4333.v50a_b_076c5199 或更高版本
- Priority Sorter 插件升级至 936.937.v5581d0b_2ccb_a_ 或更高版本
- 脚本安全插件至版本 1402.1405.vc96e74964250 或更高版本
- Zowe zDevOps 插件：请参阅供应商公告
有关更多详细信息，请参阅供应商公告。
另见
插件详情
严重性: Medium
ID: 322478
文件名: jenkins_security_advisory_2026-06-24_plugins.nasl
版本: 1.2
类型: Combined
代理: windows, macosx, unix
系列: CGI abuses
发布时间: 2026/6/24
最近更新时间: 2026/6/29
支持的传感器: Nessus Agent, Nessus
Enable CGI Scanning: true
风险信息
VPR
风险因素: High
分数: 8.4
CVSS v2
风险因素: Medium
基本分数: 4
时间分数: 3
矢量: CVSS2#AV:N/AC:L/Au:S/C:N/I:P/A:N
CVSS 分数来源: CVE-2026-57299
CVSS v3
风险因素: Medium
基本分数: 4.3
时间分数: 3.8
矢量: CVSS:3.0/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:L/A:N
时间矢量: CVSS:3.0/E:U/RL:O/RC:C
漏洞信息
CPE: cpe:/a:cloudbees:jenkins, cpe:/a:jenkins:jenkins
必需的 KB 项: installed_sw/Jenkins
易利用性: No known exploits are available
补丁发布日期: 2026/6/24
漏洞发布日期: 2026/6/24
参考资料信息
CVE: CVE-2026-57280, CVE-2026-57281, CVE-2026-57282, CVE-2026-57283, CVE-2026-57284, CVE-2026-57285, CVE-2026-57286, CVE-2026-57287, CVE-2026-57288, CVE-2026-57289, CVE-2026-57290, CVE-2026-57291, CVE-2026-57292, CVE-2026-57293, CVE-2026-57294, CVE-2026-57295, CVE-2026-57296, CVE-2026-57297, CVE-2026-57298, CVE-2026-57299, CVE-2026-57300, CVE-2026-57301, CVE-2026-57302, CVE-2026-57303, CVE-2026-57304, CVE-2026-57305, CVE-2026-57306, CVE-2026-57307