根据其自我报告的版本号，远程 Web 服务器上运行的 Jenkins 版本低于 Jenkins LTS 2.580.2，或低于 Jenkins weekly 2.588。因此，该应用程序受到多个漏洞的影响：

  - Jenkins 2.587 及更早版本、LTS 2.580.1 及更早版本不会对面包屑栏溢出菜单条目的工具提示中显示的文本进行转义，从而导致具有 Overall/Read 权限的攻击者可利用存储的跨站脚本 （XSS） 漏洞。（CVE-2026-117623）

  - Jenkins 2.587 及更早版本 LTS 2.580.1 及更早版本仅在创建所提取文件的父目录之前（而不是在写入文件之前）检查其路径中的符号链接，并允许构件中的符号链接替换现有文件或空目录，从而允许具有 Item/Configure 权限的攻击者向 Jenkins 控制器文件系统上的任意位置写入文件。（CVE-2026-117617）

  - Jenkins 2.587 及更早版本、LTS 2.580.1 及更早版本在 XStream 反序列化期间未将其反序列化过滤器应用至“resolves-to”属性引用的类。（CVE-2026-117612）

  - Jenkins 2.587 及更早版本、LTS 2.580.1 及更早版本在反序列化后不限制集合中的项目类型，从而允许具有 POST config.xml API 端点访问权限的攻击者提交构建的“config.xml”文件，这些文件可导致存储的跨站脚本 （XSS） 等漏洞。
    (CVE-2026-117613)

  - Jenkins 2.587 及更早版本、LTS 2.580.1 及更早版本在未检查其是否未经管理员批准的情况下，将旧版代理配置中的启动命令转换为 Command Agent Launcher 插件提供的启动器，允许具有代理/配置权限的攻击者在 Jenkins 控制器 JVM 的上下文中执行任意代码。（CVE-2026-117614）

  - Jenkins 2.587 及更早版本、LTS 2.580.1 及更早版本在复制要重命名的项目的目录时跟随符号链接，从而允许具有 Item/Create 和 Item/Configure 权限的攻击者读取 Jenkins 控制器文件系统上的任意文件。（CVE-2026-117615）

  - Jenkins 2.587 及更早版本、LTS 2.580.1 及更早版本提供了在不验证名称的情况下按名称加载代理的 HTTP 端点，允许具有 Overall/Read 权限的攻击者将任何 config.xml 文件作为代理配置加载到控制器文件系统上，并在保存该代理时覆盖该config.xml文件，从而可能导致任意代码执行。（CVE-2026-117616）

  - 在 Jenkins 2.587 及更早版本以及 LTS 2.580.1 及更早版本中，用于创建第一个用户帐户的 HTTP 端点未检查安装向导是否已完成，从而导致争用条件，允许未经认证的攻击者在替换初始用户帐户时创建管理员帐户。（CVE-2026-117618）

  - Jenkins 2.587 及更早版本以及 LTS 2.580.1 及更早版本允许使用 HTTP 基本认证（包括使用 API 标记）认证的请求获取 remember me cookie，这允许已获取用户 API 标记的攻击者在 API 标记撤消或到期后保留对 remember me cookie 的 Jenkins 访问权限。（CVE-2026-117619）

  - Jenkins 2.587 及更早版本以及 LTS 2.580.1 及更早版本允许具有整体/读取权限的攻击者在管理旧数据功能中触发警告，管理员可利用这些警告注入攻击者控制的数据，覆盖现有用户帐户信息，包括登录密码。
    (CVE-2026-117620)

  - Jenkins 2.587 及更早版本、LTS 2.580.1 及更早版本在代理上计算工作区浏览器中针对每个文件和目录显示的链接的 URL，从而导致攻击者可利用跨站脚本 （XSS） 漏洞控制代理进程。（CVE-2026-117621）

  - Jenkins 2.587 及更早版本、LTS 2.580.1 及更早版本允许代理将实现 Stapler HttpResponse 接口的异常发送到控制器，导致攻击者可利用跨站脚本 （XSS） 漏洞控制代理进程。（CVE-2026-117622）

  - Jenkins 2.587 及更早版本、LTS 2.580.1 及更早版本未始终如一地强制执行对标记为将其配置作为嵌套值存储在独立顶级配置文件中的类型的反序列化对象的限制，从而允许攻击者绕过根元素检查并可能注入嵌套对象。（CVE-2026-117624）

  - Jenkins 2.587 及更早版本、LTS 2.580.1 及更早版本中缺少权限检查，允许具有 Overall/Read 权限的攻击者获取已配置 HTTP 代理的服务器、端口、用户名和非代理主机列表。（CVE-2026-117625）

  - Jenkins 2.587 及更早版本、LTS 2.580.1 及更早版本未正确识别在工作区 $JENKINS_HOME/userContent/的文件浏览器中尝试路径遍历的文件路径，以及 ，允许具有 Overall/Read 权限的攻击者获取 和 中文件 $JENKINS_HOME的名称、大小和上次修改时间，以及具有 Item/Workspace 权限的攻击者获取在同一代理上拥有工作区的作业名称。（CVE-2026-117626）

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

检测

Jenkins LTS < 2.580.2 / Jenkins weekly < 2.588 多个漏洞

high Nessus 插件 ID 373229

版本 1.1