There are packages installed that are affected by a vulnerability referenced in the following CVE:

  - Jenkins Filesystem List Parameter Plugin 0.0.14 and earlier does not restrict the path used for the File
    system objects list Parameter, allowing attackers with Item/Configure permission to enumerate file names
    on the Jenkins controller file system. (CVE-2024-54004)

根據其自我報告的版本號碼，遠端 Web 伺服器上執行的 Jenkins plugin 版本受到多個弱點影響：

  - 3.1.0 之前的 JSON-lib 中的 util/JSONTokener.java 未正確處理不平衡的註解字串。 (CVE-2024-47855)

  - Jenkins Simple Queue Plugin 1.4.4 及更早版本不會逸出檢視名稱，因而會導致具有「View/Create」權限的攻擊者可利用的儲存型跨網站指令碼 (XSS) 弱點。(CVE-2024-54003)

  - Jenkins Filesystem List Parameter Plugin 0.0.14 和更舊版本未限制用於檔案系統物件清單參數的路徑，進而允許具有項目/組態權限的攻擊者可列舉 Jenkins 控制器檔案系統上的檔案名稱。(CVE-2024-54004)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

根据其自我报告的版本号，远程 Web 服务器上运行的相应版本的 Jenkins 插件受到多种漏洞的影响：

  - 3.1.0 之前的 JSON-lib 中的 util/JSONTokener.java 未正确处理不平衡的注释字符串。(CVE-2024-47855)

  - Jenkins Simple Queue 插件 1.4.4 及更早版本未对视图名称转义，导致存在存储型跨站脚本 (XSS) 漏洞，具有“视图/创建”权限的攻击者可利用此漏洞。(CVE-2024-54003)

  - Jenkins Filesystem List Parameter Plugin 0.0.14 和更早版本未限制用于 File 系统对象列表参数的路径，这样允许具有 Item/Configure 权限的攻击者枚举 Jenkins 控制器文件系统上的文件名。(CVE-2024-54004)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

自己報告によるバージョン番号によると、リモートウェブサーバー上で実行されているバージョンの Jenkins プラグインは、次の複数の脆弱性の影響を受けます。

  - 3.1.0 以前の JSON-lib の util/JSONTokener.java は、バランスの崩れたコメント文字列を不適切に処理します。(CVE-2024-47855)

  - Jenkins Simple Queue プラグイン 1.4.4 およびそれ以前は、ビュー名をエスケープしません。そのため、蓄積型クロスサイトスクリプティング (XSS) の脆弱性があり、表示 / 作成のアクセス許可を持つ攻撃者がこれを悪用する可能性があります。(CVE-2024-54003)

  - Jenkins ファイルシステムリストパラメータープラグイン 0.0.14 以前では、ファイルシステムオブジェクトリストパラメーターに使用されるパスが制限されないため、アイテム / 設定のアクセス許可を持つ攻撃者が、Jenkins コントローラーファイルシステムにあるファイル名を列挙する可能性があります。(CVE-2024-54004)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

According to their self-reported version numbers, the version of Jenkins plugins running on the remote web server are affected by multiple vulnerabilities:

  - util/JSONTokener.java in JSON-lib before 3.1.0 mishandles an unbalanced comment string. (CVE-2024-47855)

  - Jenkins Simple Queue Plugin 1.4.4 and earlier does not escape the view name, resulting in a stored cross-     site scripting (XSS) vulnerability exploitable by attackers with View/Create permission. (CVE-2024-54003)

  - Jenkins Filesystem List Parameter Plugin 0.0.14 and earlier does not restrict the path used for the File     system objects list Parameter, allowing attackers with Item/Configure permission to enumerate file names     on the Jenkins controller file system. (CVE-2024-54004)

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
414747	SCA: security update for aendter.jenkins.plugins:filesystem-list-parameter-plugin (GHSA-fwxq-3f52-5cmc)	Tenable Cloud Security	SCA Checks	2025/1/23	2026/7/2	medium
414747	SCA: security update for aendter.jenkins.plugins:filesystem-list-parameter-plugin (GHSA-fwxq-3f52-5cmc)	Tenable Self-Hosted Container Security	SCA Checks	2025/1/23	2026/7/2	medium
211917	Jenkins plugins 多個弱點 (2024-11-27)	Nessus	CGI abuses	2024/11/27	2024/11/28	high
211917	Jenkins 插件多个漏洞 (2024-11-27)	Nessus	CGI abuses	2024/11/27	2024/11/28	high
211917	Jenkins プラグインの複数の脆弱性 (2024 年 11 月 27 日)	Nessus	CGI abuses	2024/11/27	2024/11/28	high
211917	Jenkins plugins Multiple Vulnerabilities (2024-11-27)	Nessus	CGI abuses	2024/11/27	2024/11/28	high

检测

插件搜索

medium

medium

high

high

high

high