Jenkins LTS < 2.580.2 / Jenkins weekly < 2.588 多个漏洞
high Nessus 插件 ID 373229
语言：
简介
远程 Web 服务器主机上运行的应用程序受到多个漏洞影响描述
根据其自我报告的版本号，远程 Web 服务器上运行的 Jenkins 版本低于 Jenkins LTS 2.580.2，或低于 Jenkins weekly 2.588。因此，该应用程序受到多个漏洞的影响：- Jenkins 2.587 及更早版本、LTS 2.580.1 及更早版本不会对面包屑栏溢出菜单条目的工具提示中显示的文本进行转义，从而导致具有 Overall/Read 权限的攻击者可利用存储的跨站脚本 （XSS） 漏洞。（CVE-2026-117623）
- Jenkins 2.587 及更早版本 LTS 2.580.1 及更早版本仅在创建所提取文件的父目录之前（而不是在写入文件之前）检查其路径中的符号链接，并允许构件中的符号链接替换现有文件或空目录，从而允许具有 Item/Configure 权限的攻击者向 Jenkins 控制器文件系统上的任意位置写入文件。（CVE-2026-117617）
- Jenkins 2.587 及更早版本、LTS 2.580.1 及更早版本在 XStream 反序列化期间未将其反序列化过滤器应用至“resolves-to”属性引用的类。（CVE-2026-117612）
- Jenkins 2.587 及更早版本、LTS 2.580.1 及更早版本在反序列化后不限制集合中的项目类型，从而允许具有 POST config.xml API 端点访问权限的攻击者提交构建的“config.xml”文件，这些文件可导致存储的跨站脚本 （XSS） 等漏洞。
(CVE-2026-117613)
- Jenkins 2.587 及更早版本、LTS 2.580.1 及更早版本在未检查其是否未经管理员批准的情况下，将旧版代理配置中的启动命令转换为 Command Agent Launcher 插件提供的启动器，允许具有代理/配置权限的攻击者在 Jenkins 控制器 JVM 的上下文中执行任意代码。（CVE-2026-117614）
- Jenkins 2.587 及更早版本、LTS 2.580.1 及更早版本在复制要重命名的项目的目录时跟随符号链接，从而允许具有 Item/Create 和 Item/Configure 权限的攻击者读取 Jenkins 控制器文件系统上的任意文件。（CVE-2026-117615）
- Jenkins 2.587 及更早版本、LTS 2.580.1 及更早版本提供了在不验证名称的情况下按名称加载代理的 HTTP 端点，允许具有 Overall/Read 权限的攻击者将任何 config.xml 文件作为代理配置加载到控制器文件系统上，并在保存该代理时覆盖该config.xml文件，从而可能导致任意代码执行。（CVE-2026-117616）
- 在 Jenkins 2.587 及更早版本以及 LTS 2.580.1 及更早版本中，用于创建第一个用户帐户的 HTTP 端点未检查安装向导是否已完成，从而导致争用条件，允许未经认证的攻击者在替换初始用户帐户时创建管理员帐户。（CVE-2026-117618）
- Jenkins 2.587 及更早版本以及 LTS 2.580.1 及更早版本允许使用 HTTP 基本认证（包括使用 API 标记）认证的请求获取 remember me cookie，这允许已获取用户 API 标记的攻击者在 API 标记撤消或到期后保留对 remember me cookie 的 Jenkins 访问权限。（CVE-2026-117619）
- Jenkins 2.587 及更早版本以及 LTS 2.580.1 及更早版本允许具有整体/读取权限的攻击者在管理旧数据功能中触发警告，管理员可利用这些警告注入攻击者控制的数据，覆盖现有用户帐户信息，包括登录密码。
(CVE-2026-117620)
- Jenkins 2.587 及更早版本、LTS 2.580.1 及更早版本在代理上计算工作区浏览器中针对每个文件和目录显示的链接的 URL，从而导致攻击者可利用跨站脚本 （XSS） 漏洞控制代理进程。（CVE-2026-117621）
- Jenkins 2.587 及更早版本、LTS 2.580.1 及更早版本允许代理将实现 Stapler HttpResponse 接口的异常发送到控制器，导致攻击者可利用跨站脚本 （XSS） 漏洞控制代理进程。（CVE-2026-117622）
- Jenkins 2.587 及更早版本、LTS 2.580.1 及更早版本未始终如一地强制执行对标记为将其配置作为嵌套值存储在独立顶级配置文件中的类型的反序列化对象的限制，从而允许攻击者绕过根元素检查并可能注入嵌套对象。（CVE-2026-117624）
- Jenkins 2.587 及更早版本、LTS 2.580.1 及更早版本中缺少权限检查，允许具有 Overall/Read 权限的攻击者获取已配置 HTTP 代理的服务器、端口、用户名和非代理主机列表。（CVE-2026-117625）
- Jenkins 2.587 及更早版本、LTS 2.580.1 及更早版本未正确识别在工作区 $JENKINS_HOME/userContent/的文件浏览器中尝试路径遍历的文件路径，以及 ，允许具有 Overall/Read 权限的攻击者获取 和 中文件 $JENKINS_HOME的名称、大小和上次修改时间，以及具有 Item/Workspace 权限的攻击者获取在同一代理上拥有工作区的作业名称。（CVE-2026-117626）
请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。
解决方案
将 Jenkins weekly 升级到版本 2.588 或更高版本，或将 Jenkins LTS 升级到版本 2.580.2 或更高版本。另见
插件详情
严重性: High
ID: 373229
文件名: jenkins_2_588.nasl
版本: 1.1
类型: Combined
代理: windows, macosx, unix
系列: CGI abuses
发布时间: 2026/10/28
最近更新时间: 2026/10/28
支持的传感器: Frictionless Assessment Agent, Nessus Agent, Continuous Assessment, Tenable Cloud Security, Tenable Self-Hosted Container Security, Nessus
Enable CGI Scanning: true
风险信息
VPR
风险因素: Medium
分数: 4.9
百分位: 58.54
CVSS v2
风险因素: High
基本分数: 9
时间分数: 6.7
矢量: CVSS2#AV:N/AC:L/Au:S/C:C/I:C/A:C
CVSS 分数来源: CVE-2026-117623
CVSS v3
风险因素: High
基本分数: 8.8
时间分数: 7.7
矢量: CVSS:3.0/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
时间矢量: CVSS:3.0/E:U/RL:O/RC:C
CVSS 分数来源: CVE-2026-117617
漏洞信息
CPE: cpe:/a:cloudbees:jenkins, cpe:/a:jenkins:jenkins
必需的 KB 项: installed_sw/Jenkins
易利用性: No known exploits are available
补丁发布日期: 2026/10/28
漏洞发布日期: 2026/10/28
参考资料信息
CVE: CVE-2026-117612, CVE-2026-117613, CVE-2026-117614, CVE-2026-117615, CVE-2026-117616, CVE-2026-117617, CVE-2026-117618, CVE-2026-117619, CVE-2026-117620, CVE-2026-117621, CVE-2026-117622, CVE-2026-117623, CVE-2026-117624, CVE-2026-117625, CVE-2026-117626