There are packages installed that are affected by multiple vulnerabilities referenced in the following CVEs:

  - Users who cached their CLI authentication before Jenkins was updated to 2.150.2 and newer, or 2.160 and
    newer, would remain authenticated in Jenkins 2.171 and earlier and Jenkins LTS 2.164.1 and earlier,
    because the fix for CVE-2019-1003004 in these releases did not reject existing remoting-based CLI
    authentication caches. (CVE-2019-1003049)

  - The f:validateButton form control for the Jenkins UI did not properly escape job URLs in Jenkins 2.171 and
    earlier and Jenkins LTS 2.164.1 and earlier, resulting in a cross-site scripting (XSS) vulnerability
    exploitable by users with the ability to control job names. (CVE-2019-1003050)

There are packages installed that are affected by a vulnerability referenced in the following CVE:

  - The f:validateButton form control for the Jenkins UI did not properly escape job URLs in Jenkins 2.171 and
    earlier and Jenkins LTS 2.164.1 and earlier, resulting in a cross-site scripting (XSS) vulnerability
    exploitable by users with the ability to control job names. (CVE-2019-1003050)

远程 Web 服务器上运行的 Jenkins 版本低于 2.172，或为版本低于 2.164.2 的 Jenkins LTS。因此，该应用程序受到多个漏洞的影响：

  - 存在身份验证绕过情况，这是针对 SECURITY-901 的修复不完整所致，其中存在基于远程的 CLI 身份验证缓存。未经身份验证的远程攻击者可利用此漏洞，绕过现有访问控制限制，并伪装成经过身份验证的用户。(CVE-2019-1003049)

  - 存在一个跨站脚本 (XSS) 漏洞，这是因为未正确验证用户提供的输入，便将其返回给用户所导致。未经身份验证的远程攻击者可利用此漏洞，通过诱骗用户点击特别构建的 URL，在用户的浏览器会话中执行任意脚本代码。(CVE-2019-1003050)请注意，Nessus 尚未测试这些问题，而是只依靠应用程序自我报告的版本号。

遠端 Web 伺服器上執行的 Jenkins 為早於 2.172 的版本，或是早於 2.164.2 的 Jenkins LTS 版本。因此，會受到多個弱點影響：

  - 存在一個驗證繞過情形，這是由於未完整修正 SECURITY-901 所致，其中執行現有的遠端 CLI 驗證快取。未經驗證的遠端攻擊者可惡意利用此弱點來繞過現有的存取控制限制，並偽裝成經過驗證的使用者。(CVE-2019-1003049)

  - 存在一個跨網站指令碼 (XSS) 弱點，這是因為未正確驗證使用者提供的輸入，便將其傳回給使用者所導致。未經驗證的遠端攻擊者可惡意利用此弱點，誘騙使用者按一下特製的 URL，進而在使用者的瀏覽器工作階段中執行任意指令碼。(CVE-2019-1003050) 請注意，Nessus 尚未測試這些問題，而是僅依據應用程式自我報告的版本號碼。

リモートWebサーバーで実行されているJenkinsのバージョンは、2.172より前か、2.164.2より前のJenkins LTSのバージョンです。そのため、以下の複数の脆弱性の影響を受けます。

  -SECURITY-901の修正が不完全なため、認証バイパスの状態が存在します。この問題では、既存のリモートベースのCLI認証がキャッシュします。認証されていないリモートの攻撃者がこれを悪用し、既存のアクセス制御の制限をバイパスして、認証されたユーザーとして現れる可能性があります。（CVE-2019-1003049）

  - ユーザー指定の入力をユーザーに返す前に不適切に検証しているため、クロスサイトスクリプティング（XSS）の脆弱性があります。認証されていないリモートの攻撃者がこれを悪用し、特別に細工されたURLをクリックするようユーザーを誘導して、ユーザーのブラウザセッションで任意のスクリプトコードを実行する可能性があります。（CVE-2019-1003050）Nessusはこれらの問題をテストしていませんが、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

The version of Jenkins running on the remote web server is prior to 2.172 or is a version of Jenkins LTS prior to 2.164.2. It is, therefore, affected by multiple vulnerabilities:

  - An authentication bypass condition exists due to an incomplete fix for SECURITY-901, in which existing     remote-based CLI authentication caches. An unauthenticated, remote attacker can exploit this to bypass     existing Access Control Limitations and appear as an authenticated user. (CVE-2019-1003049)

  - A cross-site scripting (XSS) vulnerability exists due to improper validation of user-supplied input before     returning it to users. An unauthenticated, remote attacker can exploit this, by convincing a user to click     a specially crafted URL, to execute arbitrary script code in a user's browser session. (CVE-2019-1003050)     Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
405036	Alpine: multiple jenkins packages: security update to 2.164.2-r0	Tenable Cloud Security	Alpine Linux Local Security Checks	2023/10/31	2026/7/2	high
405036	Alpine: multiple jenkins packages: security update to 2.164.2-r0	Tenable Self-Hosted Container Security	Alpine Linux Local Security Checks	2023/10/31	2026/7/2	high
418234	SCA: security update for org.jenkins-ci.main:jenkins-core (GHSA-qpg9-83fv-x9ch)	Tenable Self-Hosted Container Security	SCA Checks	2025/1/23	2026/7/2	medium
418234	SCA: security update for org.jenkins-ci.main:jenkins-core (GHSA-qpg9-83fv-x9ch)	Tenable Cloud Security	SCA Checks	2025/1/23	2026/7/2	medium
124168	Jenkins < 2.164.2 LTS / 2.172 多个漏洞	Nessus	CGI abuses	2019/4/18	2024/6/5	high
124168	Jenkins < 2.164.2 LTS / 2.172 多個弱點	Nessus	CGI abuses	2019/4/18	2024/6/5	high
124168	Jenkins < 2.164.2 LTS/2.172の複数の脆弱性	Nessus	CGI abuses	2019/4/18	2024/6/5	high
124168	Jenkins < 2.164.2 LTS / 2.172 Multiple Vulnerabilities	Nessus	CGI abuses	2019/4/18	2024/6/5	high

检测

插件搜索

high

high

medium

medium

high

high

high

high