根据其自我报告的版本号，远程 Web 服务器上运行的相应版本的 Jenkins 插件受到多种漏洞的影响：

  - JSON-Java 版本（含 20230618）中的拒绝服务。解析器中的错误意味着适度大小的输入字符串可能会导致使用无限量的内存。(CVE-2023-5072)

  - Jenkins Scriptler 插件 342.v6a_89fd40f466 及更低版本未限制 HTTP 端点中的文件名查询参数，这让具有 Scriptler/Configure 权限的攻击者能删除 Jenkins 控制器文件系统上的任意文件。(CVE-2023-50764)

  - Jenkins Scriptler 插件 342.v6a_89fd40f466 及更低版本中缺少权限检查，允许具有总体/读取权限的攻击者通过了解 Groovy 脚本的 ID 来读取其内容。(CVE-2023-50765)

  - Jenkins Nexus Platform 插件 3.18.0-03 及更低版本存在跨站请求伪造 (CSRF) 漏洞，允许攻击者向攻击者指定的 URL 发送 HTTP 请求并将响应解析为 XML。
    (CVE-2023-50766)

  - Jenkins Nexus Platform 插件 3.18.0-03 和更低版本中存在缺少权限检查漏洞，允许具有“全局/读取”权限的攻击者将 HTTP 请求发送到攻击者指定的 URL，并将响应解析为 XML。(CVE-2023-50767)

  - Jenkins Nexus Platform 插件 3.18.0-03 及更低版本中存在跨站请求伪造 (CSRF) 漏洞，该漏洞允许攻击者使用其通过其他方法获取的攻击者指定凭据 ID 连接到其指定的 HTTP 服务器，从而捕获存储在 Jenkins 中的凭据。(CVE-2023-50768)

  - Jenkins Nexus Platform 插件 3.18.0-03 及更低版本中存在缺少权限检查漏洞，该漏洞允许具有“全局/读取”权限的攻击者使用其通过其他方法获取的攻击者指定凭据 ID 连接到其指定的 HTTP 服务器，从而捕获 Jenkins 中存储的凭据。(CVE-2023-50769)

  - Jenkins OpenId Connect Authentication 插件 2.6 及更低版本以可恢复的格式存储用作防锁定功能的本地用户帐户的密码，允许访问 Jenkins 控制器文件系统的攻击者恢复该帐户的纯文本密码，可能获得 Jenkins 的管理员访问权限。(CVE-2023-50770)

  - Jenkins OpenId Connect Authentication 插件 2.6 及更低版本未正确确定登录后的重定向 URL 是否合法指向 Jenkins，这让攻击者能执行网络钓鱼攻击。
    (CVE-2023-50771)

  - Jenkins Dingding JSON Pusher 插件 2.0 及更低版本会将未加密的访问令牌存储在 Jenkins 控制器上的作业 config.xml 文件中，因此具有 Item/Extended Read 权限或 Jenkins 控制器文件系统访问权限的用户可查看这些标记。(CVE-2023-50772)

  - Jenkins Dingding JSON Pusher 插件 2.0 及更低版本未对作业配置表单上显示的访问令牌进行掩码，这增加了攻击者观察和捕获令牌的可能性。(CVE-2023-50773)

  - Jenkins HTMLResource 插件 1.02 及更低版本中存在跨站脚本伪造 (CSRF) 漏洞，攻击者可利用此漏洞删除 Jenkins 控制器文件系统上的任意文件。(CVE-2023-50774)

  - Jenkins Deployment Dashboard 插件 1.0.10 及更低版本中存在一个跨站脚本伪造 (CSRF) 漏洞，允许攻击者复制作业。(CVE-2023-50775)

  - Jenkins PaaSLane Estimate 插件 1.0.4 及更低版本会将未加密的 PaaSLane 身份验证令牌存储在 Jenkins 控制器上的作业 config.xml 文件中，因此具有 Item/Extended Read 权限或 Jenkins 控制器文件系统访问权限的用户可查看这些标记。(CVE-2023-50776)

  - Jenkins PaaSLane Estimate 插件 1.0.4 及更低版本未对作业配置表单上显示的 PaaSLane 身份验证令牌进行掩码，这增加了攻击者观察和捕获令牌的可能性。
    (CVE-2023-50777)

  - Jenkins PaaSLane Estimate 插件 1.0.4 及更低版本中存在一个跨站请求伪造 (CSRF) 漏洞，该漏洞允许攻击者使用其指定的令牌连接到其指定的 URL。
    (CVE-2023-50778)

  - Jenkins PaaSLane Estimate 插件 1.0.4 及更低版本中存在一个缺少权限检查漏洞，该漏洞允许具有“全局/读取”权限的攻击者使用其指定的令牌连接到其指定的 URL。
    (CVE-2023-50779)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程主机上安装的 Oracle Business Intelligence Enterprise Edition (OAS) 7.0.0.0 版本受到 2024 年 1 月 CPU 公告中提及的以下多个漏洞的影响：

  - Oracle Analytics 的 Oracle Business Intelligence Enterprise Edition 产品中的漏洞（组件：Installation (Google Gson)）。支持的版本中受影响的是 6.4.0.0.0 和 7.0.0.0.0。利用漏洞此漏洞的难度较低，通过 HTTP 访问网络的未经验证的攻击者可以借此入侵 Oracle Business Intelligence Enterprise Edition。若攻击成功，攻击者可在未经授权的情况下造成 Oracle Business Intelligence Enterprise Edition 挂起或频繁出现崩溃（完整 DOS）。(CVE-2022-25647)

  - Oracle Analytics 的 Oracle Business Intelligence Enterprise Edition 产品中的漏洞（组件：Majel Mobile Service (JSON-java)）。支持的版本中受影响的是 6.4.0.0.0 和 7.0.0.0.0。利用漏洞此漏洞的难度较低，通过 HTTP 访问网络的未经验证的攻击者可以借此入侵 Oracle Business Intelligence Enterprise Edition。若攻击成功，攻击者可在未经授权的情况下造成 Oracle Business Intelligence Enterprise Edition 挂起或频繁出现崩溃（完整 DOS）。(CVE-2023-5072)

  - Oracle Analytics 的 Oracle Business Intelligence Enterprise Edition 产品中的漏洞（组件：Visual Analyzer (Snappy)）。支持的版本中受影响的是 7.0.0.0.0。利用漏洞此漏洞的难度较低，通过 HTTP 访问网络的未经验证的攻击者可以借此入侵 Oracle Business Intelligence Enterprise Edition。若攻击成功，攻击者可在未经授权的情况下造成 Oracle Business Intelligence Enterprise Edition 挂起或频繁出现崩溃（完整 DOS）。(CVE-2023-43642)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程主机上安装的 Primavera P6 Enterprise Project Portfolio Management 版本受到 2024 年 1 月 CPU 公告中提及的多个漏洞影响。

  - Oracle Construction and Engineering 的 Primavera P6 Enterprise Project Portfolio Management 产品存在漏洞（组件：Web (Google Guava)）。支持的版本中受影响的是 19.12.0-19.12.22、20.12.0-20.12.20、21.12.0-21.12.17 和 22.12.0-22.12.10。利用此漏洞的难度较小，低权限攻击者可登录 Primavera P6 Enterprise Project Portfolio Management 执行的基础结构，从而破坏 Primavera P6 Enterprise Project Portfolio Management。成功利用此漏洞进行攻击可导致在未经授权的情况下创建、删除或修改关键数据或所有 Primavera P6 Enterprise Project Portfolio Management 可访问数据的访问权限，以及未经授权访问关键数据或完全访问所有可访问的 Primavera P6 Enterprise Project Portfolio Management 数据。(CVE-2023-2976)

  - Oracle Construction and Engineering 的 Primavera P6 Enterprise Project Portfolio Management 产品存在漏洞（组件：Web (Apache Commons Compress)）。支持的版本中受影响的是 19.12.0-19.12.22、20.12.0-20.12.20、21.12.0-21.12.17 和 22.12.0-22.12.10。利用此漏洞的难度较小，低权限攻击者可登录 Primavera P6 Enterprise Project Portfolio Management 执行的基础结构，从而破坏 Primavera P6 Enterprise Project Portfolio Management。除攻击者以外的他人进行交互是实现成功攻击的必要条件。若成功攻击此漏洞，攻击者可在未经授权的情况下造成 Primavera P6 Enterprise Project Portfolio Management 挂起或频繁崩溃（完全 DOS）。(CVE-2023-42503)

  - Oracle Construction and Engineering 的 Primavera P6 Enterprise Project Portfolio Management 产品存在漏洞（组件：Web (JSON-java)）。支持的版本中受影响的是 19.12.0-19.12.22、20.12.0-20.12.20、21.12.0-21.12.17 和 22.12.0-22.12.10。利用此漏洞的难度较小，未经身份验证的攻击者可通过 HTTP 进行网络访问，破坏 Primavera P6 Enterprise Project Portfolio Management。若成功攻击此漏洞，攻击者可在未经授权的情况下造成 Primavera P6 Enterprise Project Portfolio Management 挂起或频繁崩溃（完全 DOS）。(CVE-2023-5072)

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

远程主机上安装的 WebCenter Portal 12.2.1.4.0 版本受到 2024 年 7 月 CPU 公告中提及的漏洞影响。

  - Oracle Fusion Middleware 的 Oracle WebCenter Portal 产品中存在漏洞（组件：Portal Core (Apache SOAP)）。支持的版本中受影响的是 12.2.1.4.0。可轻松利用的漏洞允许未经身份验证的攻击者通过 HTTP 进行网络访问，从而破坏 Oracle WebCenter Portal。成功攻击此漏洞可导致接管 Oracle WebCenter Portal。(CVE-2022-45378)

  - Oracle Fusion Middleware 的 Oracle WebCenter Portal 产品中存在漏洞（组件：Discussion Forums (JSON-java)）。支持的版本中受影响的是 12.2.1.4.0。可轻松利用的漏洞允许未经身份验证的攻击者通过 HTTP 进行网络访问，从而破坏 Oracle WebCenter Portal。成功利用此漏洞进行攻击可导致在未经授权的情况下造成 Oracle WebCenter Portal 挂起或频繁出现崩溃（完整 DOS）。(CVE-2023-5072)

  - Oracle Fusion Middleware 的 Oracle WebCenter Portal 产品中存在漏洞（组件：Security Framework (Apache Commons Compress)）。支持的版本中受影响的是 12.2.1.4.0。可轻松利用的漏洞允许未经授权的攻击者登录 Oracle WebCenter Portal 执行的基础结构，从而破坏 Oracle WebCenter Portal。除攻击者以外的他人进行交互是实现成功攻击的必要条件。成功利用此漏洞进行攻击可导致在未经授权的情况下造成 Oracle WebCenter Portal 挂起或频繁出现崩溃（完整 DOS）。(CVE-2024-26308) 

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

远程主机上安装的 Oracle Business Intelligence Enterprise Edition (OAS) 6.4.0.0.0 版本受到 2024 年 1 月 CPU 公告中提及的以下多个漏洞的影响：

  - Oracle Analytics 的 Oracle Business Intelligence Enterprise Edition 产品中的漏洞（组件：Analytics Server (Apache Solr)）。支持的版本中受影响的是 6.4.0.0.0。利用漏洞此漏洞的难度较低，通过 HTTP 访问网络的未经验证的攻击者可以借此入侵 Oracle Business Intelligence Enterprise Edition。若攻击成功，攻击者可在未经授权的情况下造成 Oracle Business Intelligence Enterprise Edition 挂起或频繁出现崩溃（完整 DOS）。(CVE-2021-33813)

  - Oracle Analytics 的 Oracle Business Intelligence Enterprise Edition 产品中的漏洞（组件：Visual Analyzer (Apache Ivy)）。支持的版本中受影响的是 6.4.0.0.0。利用漏洞此漏洞的难度较低，通过 HTTP 访问网络的未经验证的攻击者可以借此入侵 Oracle Business Intelligence Enterprise Edition。成功利用此漏洞进行攻击可导致在未经授权的情况下访问关键数据，或完全访问 Oracle Business Intelligence Enterprise Edition 所有可访问数据，以及在未经授权的情况下造成 Oracle Business Intelligence Enterprise Edition 部分拒绝服务（部分 DOS）。(CVE-2022-46751)

  - Oracle Analytics 的 Oracle Business Intelligence Enterprise Edition 产品中的漏洞（组件：Pod Admin）。支持的版本中受影响的是 6.4.0.0.0 和 12.2.1.4.0。利用漏洞此漏洞的难度较低，通过 HTTP 访问网络的低权限攻击者可以借此入侵 Oracle Business Intelligence Enterprise Edition。虽然该漏洞存在于 Oracle Business Intelligence Enterprise Edition 中，但攻击可能对其他产品造成重大影响（范围更改）。成功攻击此漏洞会导致在未经授权的情况下读取 Oracle Business Intelligence Enterprise Edition 可访问数据的子集。(CVE-2024-20904) 请注意，Nessus 没有测试这些问题，而仅依赖于应用程序自我报告的版本号。

远程主机上安装的 Primavera Gateway 版本受到 2024 年 4 月 CPU 公告中提及的多个漏洞影响。

  - JSON-Java 版本（含 20230618）中的拒绝服务。解析器中的错误意味着适度大小的输入字符串可能会导致使用无限量的内存。(CVE-2023-5072)

  - Apache Commons Compress 中无限制或节流的资源分配漏洞。此问题会影响 Apache Commons Compress 1.21 至 1.26（不含）。建议用户升级到修复了此问题的版本 1.26。(CVE-2024-26308)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程主机上运行的 Atlassian Confluence Server 版本受到 CONFSERVER-94236 公告中提及的漏洞影响。

  - JSON-Java 版本（含 20230618）中的拒绝服务。解析器中的错误意味着适度大小的输入字符串可能会导致使用无限量的内存。(CVE-2023-5072)

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

远程主机上安装的 Oracle Database Server 版本受到 2024 年 4 月 CPU 公告中提及的多个漏洞影响。

  - Oracle Database Server 的 RDBMS (Python) 组件中的漏洞。支持的版本中受影响的是 21.3-21.13。利用此漏洞的难度较小，具有“经过身份验证的用户”特权的低权限攻击者可以通过 Oracle Net 进行网络访问，从而破坏 RDBMS (Python)。除攻击者以外的他人进行交互是实现成功攻击的必要条件。成功利用此漏洞进行攻击可导致在未经授权的情况下造成 RDBMS (Python) 部分拒绝服务（部分 DOS）。(CVE-2023-36632) 

  - Oracle Database Server 的 Grid Infrastructure (Apache Mina SSHD) 组件中的漏洞。支持的版本中受影响的是 21.3-21.13。利用此漏洞的难度较大，未经身份验证的攻击者可通过 SSH 进行网络访问，从而破坏 Grid Infrastructure (Apache Mina SSHD)。若攻击成功，攻击者可在未经授权的情况下创建、删除或修改关键数据或所有 Grid Infrastructure (Apache Mina SSHD) 可访问的数据。(CVE-2023-48795)

  - Oracle Database Server 的 Oracle SQLcl (Apache Mina SSHD) 组件中的漏洞。支持的版本中受影响的是 19.3-19.22 和 21.3-21.13。利用此漏洞的难度较大，未经身份验证的攻击者可通过 SSH 进行网络访问，从而破坏 Oracle SQLcl (Apache Mina SSHD)。若攻击成功，攻击者可在未经授权的情况下创建、删除或修改关键数据或所有 Oracle SQLcl (Apache Mina SSHD) 可访问的数据。(CVE-2023-48795)	

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程主机上安装的 WebLogic Server 12.2.1.4.0 和 14.1.1.0.0 版本受到 2024 年 4 月 CPU 公告中提及的多个漏洞影响：

  - Oracle Fusion Middleware 的 Oracle WebLogic Server 产品中的漏洞（组件：示例 (handlebars)）。支持的版本中受影响的是 12.2.1.4.0 和 14.1.1.0.0。利用此漏洞的难度较低，未经身份验证的攻击者可通过 HTTP 进行网络访问，进而破坏 Oracle WebLogic Server。成功利用此漏洞进行攻击可导致接管 Oracle WebLogic Server。(CVE-2021-23369)

  - Oracle Fusion Middleware 的 Oracle WebLogic Server 产品中的漏洞（组件：集中式第三方 Jars (Bouncy Castle Java Library)）。支持的版本中受影响的是 12.2.1.4.0 和 14.1.1.0.0。可轻松利用的漏洞允许未经身份验证的攻击者通过多种协议进行网络访问，从而破坏 Oracle WebLogic Server。此漏洞的成功攻击能导致在未经授权的境况下，对 Oracle WebLogic Server 可访问数据子集进行读取访问。(CVE-2023-2976)

  - Oracle Fusion Middleware 的 Oracle WebLogic Server 产品中的漏洞（组件：Web Container）。支持的版本中受影响的是 14.1.1.0.0。利用此漏洞的难度较低，未经身份验证的攻击者可通过 HTTP/2 进行网络访问，进而破坏 Oracle WebLogic Server。成功攻击此漏洞可导致在未经授权的情况下使 Oracle WebLogic Server 挂起或频繁出现崩溃（完整 DOS）。(CVE-2023-44487)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
186836	Jenkins 插件多个漏洞 (2023-12-13)	Nessus	CGI abuses	2023/12/14	2024/10/3	high
189732	Oracle Business Intelligence Enterprise Edition (OAS 7.0)（2024 年 1 月 CPU）	Nessus	Misc.	2024/1/29	2024/1/30	high
189184	Oracle Primavera P6 Enterprise Project Portfolio Management（2024 年 1 月 CPU）	Nessus	CGI abuses	2024/1/18	2024/10/23	high
202598	Oracle WebCenter Portal（2024 年 7 月 CPU）	Nessus	Misc.	2024/7/18	2024/7/19	critical
189734	Oracle Business Intelligence Enterprise Edition (OAS 6.4)（2024 年 1 月 CPU）	Nessus	Misc.	2024/1/29	2024/1/30	high
193486	Oracle Primavera Gateway（2024 年 4 月 CPU）	Nessus	CGI abuses	2024/4/18	2024/7/19	high
191047	Atlassian Confluence < 7.19.19 / < 8.5.6 / < 8.8.0 (CONFSERVER-94236)	Nessus	CGI abuses	2024/2/27	2024/6/5	high
193497	Oracle Database Server（2024 年 4 月 CPU）	Nessus	Databases	2024/4/18	2024/5/2	critical
193425	Oracle WebLogic Server（2024 年 4 月 CPU）	Nessus	Misc.	2024/4/17	2024/10/18	critical

检测

插件搜索

high

high

high

critical

high

high

high

critical

critical