There are packages installed that are affected by a vulnerability referenced in the following CVE:

  - Jenkins 2.227 and earlier, LTS 2.204.5 and earlier improperly processes HTML content of list view column
    headers, resulting in a stored XSS vulnerability exploitable by users able to control column headers.
    (CVE-2020-2163)

There are packages installed that are affected by multiple vulnerabilities referenced in the following CVEs:

  - Jenkins 2.227 and earlier, LTS 2.204.5 and earlier uses different representations of request URL paths,
    which allows attackers to craft URLs that allow bypassing CSRF protection of any target URL.
    (CVE-2020-2160)

  - Jenkins 2.227 and earlier, LTS 2.204.5 and earlier does not properly escape node labels that are shown in
    the form validation for label expressions on job configuration pages, resulting in a stored XSS
    vulnerability exploitable by users able to define node labels. (CVE-2020-2161)

  - Jenkins 2.227 and earlier, LTS 2.204.5 and earlier does not set Content-Security-Policy headers for files
    uploaded as file parameters to a build, resulting in a stored XSS vulnerability. (CVE-2020-2162)

  - Jenkins 2.227 and earlier, LTS 2.204.5 and earlier improperly processes HTML content of list view column
    headers, resulting in a stored XSS vulnerability exploitable by users able to control column headers.
    (CVE-2020-2163)

遠端 Web 伺服器上執行的 Jenkins 為 2.228 之前的版本，或是 Jenkins LTS 2.204.6 或 2.222.1 之前的版本。因此，會受到多個弱點影響：

  - Jenkins 的 CSRF 防護元件中存在一個驗證繞過弱點。未經驗證的遠端攻擊者可利用此弱點，向易受攻擊的 Jenkins 執行個體傳送特別構建的要求來繞過驗證並展開 CSRF 攻擊 (CVE-2020-2160)。

  - Jenkins 的標籤運算式驗證元件中存在一個已儲存跨網站指令碼 (XSS) 弱點，這是因為未正確驗證使用者提供的輸入，便將其傳回給使用者。經驗證的遠端攻擊者可加以惡意利用，誘騙使用者按一下特製的 URL，藉此在使用者的瀏覽器工作階段中執行任意指令碼 (CVE-2020-2161)。

  - Jenkins 的檔案參數元件中存在一個已儲存跨網站指令碼 (XSS) 弱點，這是因為未正確驗證使用者提供的輸入，便將其傳回給使用者。經驗證的遠端攻擊者可加以惡意利用，誘騙使用者按一下特製的 URL，藉此在使用者的瀏覽器工作階段中執行任意指令碼 (CVE-2020-2162)。

  請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼。

远程 Web 服务器上运行的 Jenkins 版本低于 2.228，或是低于 2.204.6 或 2.222.1 的 Jenkins LTS。因此，该应用程序受到多个漏洞的影响：

  - Jenkins 的 CSRF 阻止组件中存在身份验证绕过漏洞。未经身份验证的远程攻击者可利用此漏洞，通过向易受攻击的 Jenkins 实例发送特别构建的请求来绕过身份验证并展开 CSRF 攻击 (CVE-2020-2160)。

  - Jenkins 的标签表达式验证组件中存在存储型跨站脚本 (XSS) 漏洞，这是因为未正确验证用户提供的输入便将其返回给用户。经过身份验证的远程攻击者可利用此漏洞，通过诱使用户单击特别构建的 URL，在用户的浏览器会话中执行任意脚本代码 (CVE-2020-2161)。

  - Jenkins 的文件参数组件中存在存储型跨站脚本 (XSS) 漏洞，这是因为未正确验证用户提供的输入便将其返回给用户。经过身份验证的远程攻击者可利用此漏洞，通过诱使用户单击特别构建的 URL，在用户的浏览器会话中执行任意脚本代码 (CVE-2020-2162)。

  请注意，Nessus 尚未测试这些问题，而是只依靠应用程序自我报告的版本号。

Jenkins セキュリティアドバイザリ：説明（重要度高）SECURITY-1774/CVE-2020-2160 URLのCSRF保護がバイパスされる可能性（重要度中）SECURITY-1781/CVE-2020-2161ラベル式の検証における蓄積型XSSの脆弱性（重要度中）SECURITY-1793/CVE-2020-2162ファイルパラメーターにおける蓄積型XSSの脆弱性（重要度中）SECURITY-1796/CVE-2020-2163リストビューの列ヘッダーにおける蓄積型XSSの脆弱性

リモートWebサーバーで実行されているJenkinsのバージョンは、2.228より前か、2.204.6または2.222.1より前のJenkins LTSのバージョンです。そのため、以下の複数の脆弱性の影響を受けます。

  - JenkinsのCSRF防止コンポーネントに認証バイパスの脆弱性があります。認証されていないリモート攻撃者がこれを悪用し、脆弱なJenkinsインスタンスに巧妙に作りこまれたリクエストを送信して認証をバイパスし、CSRF攻撃を実行する可能性があります（CVE-2020-2160）。

  - Jenkinsのラベル式検証コンポーネントに、ユーザー指定の入力がユーザーに返される前に不適切に検証されることによる、格納型クロスサイトスクリプティング（XSS）の脆弱性があります。認証されたリモート攻撃者がこれを悪用し、巧妙に作りこまれたURLをクリックするようユーザーを誘導して、ユーザーのブラウザセッションで任意のスクリプトコードを実行する可能性があります（CVE-2020-2161）。

  - Jenkinsのファイルパラメーターコンポーネントに、ユーザー指定の入力がユーザーに返される前に不適切に検証されることによる、格納型クロスサイトスクリプティング（XSS）の脆弱性があります。認証されたリモート攻撃者がこれを悪用し、巧妙に作りこまれたURLをクリックするようユーザーを誘導して、ユーザーのブラウザセッションで任意のスクリプトコードを実行する可能性があります（CVE-2020-2162）。

  Nessusはこれらの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

Jenkins Security Advisory : Description(High) SECURITY-1774 / CVE-2020-2160 CSRF protection for any URL could be bypassed (Medium) SECURITY-1781 / CVE-2020-2161 Stored XSS vulnerability in label expression validation (Medium) SECURITY-1793 / CVE-2020-2162 Stored XSS vulnerability in file parameters (Medium) SECURITY-1796 / CVE-2020-2163 Stored XSS vulnerability in list view column headers

The version of Jenkins running on the remote web server is prior to 2.228 or is a version of Jenkins LTS prior to 2.204.6 or 2.222.1. It is, therefore, affected by multiple vulnerabilities:

  - An authentication bypass vulnerability exists in Jenkins' CSRF prevention component. An unauthenticated, remote     attacker can exploit this, by sending specially crafted requests to a vulnerable Jenkins instance, to bypass     authentication and conduct a CSRF attack (CVE-2020-2160).

  - A stored cross-site scripting (XSS) vulnerability exists in Jenkins' label expression validation component due to     improper validation of user-supplied input before returning it to users. An authenticated, remote attacker can     exploit this, by convincing a user to click a specially crafted URL, to execute arbitrary script code in a user's     browser session (CVE-2020-2161).

  - A stored cross-site scripting (XSS) vulnerability exists in Jenkins' file parameter component due to improper     validation of user-supplied input before returning it to users. An authenticated, remote attacker can exploit this,     by convincing a user to click a specially crafted URL, to execute arbitrary script code in a user's browser     session (CVE-2020-2162).

  Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version   number.

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
409169	SCA: security update for org.jenkins-ci.main:jenkins-core (GHSA-2xcm-h7vv-g8m9)	Tenable Cloud Security	SCA Checks	2025/1/23	2026/7/2	medium
409169	SCA: security update for org.jenkins-ci.main:jenkins-core (GHSA-2xcm-h7vv-g8m9)	Tenable Self-Hosted Container Security	SCA Checks	2025/1/23	2026/7/2	medium
400391	Alpine: multiple jenkins packages: security update to 2.225-r0 (deprecated)	Tenable Self-Hosted Container Security	Alpine Linux Local Security Checks	2023/8/16	2026/7/2	high
405038	Alpine: multiple jenkins packages: security update to 2.228-r0	Tenable Self-Hosted Container Security	Alpine Linux Local Security Checks	2023/10/31	2026/7/2	high
400391	Alpine: multiple jenkins packages: security update to 2.225-r0 (deprecated)	Tenable Cloud Security	Alpine Linux Local Security Checks	2023/8/16	2026/7/2	high
405038	Alpine: multiple jenkins packages: security update to 2.228-r0	Tenable Cloud Security	Alpine Linux Local Security Checks	2023/10/31	2026/7/2	high
135178	Jenkins < (2.204.6 / 2.222.1) LTS / 2.228 多個弱點	Nessus	CGI abuses	2020/4/2	2024/6/5	high
135178	Jenkins < (2.204.6 / 2.222.1) LTS / 2.228 多个漏洞	Nessus	CGI abuses	2020/4/2	2024/6/5	high
134922	FreeBSD：jenkins -- 複数の脆弱性（5bf6ed6d-9002-4f43-ad63-458f59e45384）	Nessus	FreeBSD Local Security Checks	2020/3/26	2020/4/2	high
135178	Jenkins < （2.204.6 / 2.222.1）LTS / 2.228の複数の脆弱性	Nessus	CGI abuses	2020/4/2	2024/6/5	high
134922	FreeBSD : jenkins -- multiple vulnerabilities (5bf6ed6d-9002-4f43-ad63-458f59e45384)	Nessus	FreeBSD Local Security Checks	2020/3/26	2020/4/2	high
135178	Jenkins < (2.204.6 / 2.222.1) LTS / 2.228 Multiple Vulnerabilities	Nessus	CGI abuses	2020/4/2	2024/6/5	high

检测

插件搜索

medium

medium

high

high

high

high

high

high

high

high

high

high