There are packages installed that are affected by a vulnerability referenced in the following CVE:

  - Jenkins Credentials Plugin 1380.va_435002fa_924 and earlier, except 1371.1373.v4eb_fa_b_7161e9, does not
    redact encrypted values of credentials using the `SecretBytes` type when accessing item `config.xml` via
    REST API or CLI. (CVE-2024-47805)

根據其自我報告的版本號碼，遠端 Web 伺服器上執行的 Jenkins plugin 版本受到多個弱點影響：

  - 透過 REST API 或 CLI 存取項目 `config.xml` 時，Jenkins 認證 Plugin 1380.va_435002fa_924 和更舊版本 (1371.1373.v4eb_fa_b_7161e9 除外) 不會修訂使用 `SecretBytes` 類型的認證加密值。(CVE-2024-47805)

  - Jenkins OpenId Connect 驗證 Plugin 4.354.v321ce67a_1de8 和更舊版本並未檢查 ID Token 的 `aud` (Audience) 宣告，使得攻擊者能夠破壞驗證流程，並且可能進而取得 Jenkins 的系統管理員存取權。(CVE-2024-47806)

  - Jenkins OpenId Connect 驗證 Plugin 4.354.v321ce67a_1de8 和更舊版本並未檢查 ID Token 的 `iss` (Issuer) 宣告，使得攻擊者能夠破壞驗證流程，並且可能進而取得 Jenkins 的系統管理員存取權。(CVE-2024-47807)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

根据其自我报告的版本号，远程 Web 服务器上运行的相应版本的 Jenkins 插件受到多种漏洞的影响：

  - Jenkins Credentials 插件 1380.va_435002fa_924 及更早版本（1371.1373.v4eb_fa_b_7161e9 除外）在通过 REST API 或 CLI 访问项目 `config.xml` 时，不会编辑使用 `SecretBytes` 类型加密的凭据值。(CVE-2024-47805)

  - Jenkins OpenId Connect Authentication 插件 4.354.v321ce67a_1de8 及更早版本不会检查 ID 令牌的 `aud` (Audience) 声明，导致攻击者可以破坏身份验证流，进而可能获得对 Jenkins 的管理员访问权限。(CVE-2024-47806)

  - Jenkins OpenId Connect Authentication 插件 4.354.v321ce67a_1de8 及更早版本不会检查 ID 令牌的 `iss` (Issuer) 声明，导致攻击者可以破坏身份验证流，进而可能获得对 Jenkins 的管理员访问权限。(CVE-2024-47807)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

自己報告によるバージョン番号によると、リモートウェブサーバー上で実行されているバージョンの Jenkins プラグインは、次の複数の脆弱性の影響を受けます。

  - Jenkins Credentials プラグイン 1380.va_435002fa_924 以前は、1371.1373.v4eb_fa_b_7161e9 を除いて、REST API または CLI を介してアイテム「config.xml」にアクセスする際に、「SecretBytes」タイプを使用する認証情報の暗号化値を修正しません。(CVE-2024-47805)

  - Jenkins OpenId Connect 認証プラグイン 4.354.v321ce67a_1de8 以前は、ID トークンの「aud」(Audience) クレームをチェックしないため、攻撃者が認証フローを妨害し、Jenkins への管理者アクセス権を取得する可能性があります。(CVE-2024-47806)

  - Jenkins OpenId Connect 認証プラグイン 4.354.v321ce67a_1de8 以前は、ID トークンの「iss」(Issuer) クレームをチェックしないため、攻撃者が認証フローを妨害し、Jenkins への管理者アクセス権を取得する可能性があります。(CVE-2024-47807)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

According to their self-reported version numbers, the version of Jenkins plugins running on the remote web server are affected by multiple vulnerabilities:

  - Jenkins Credentials Plugin 1380.va_435002fa_924 and earlier, except 1371.1373.v4eb_fa_b_7161e9, does not     redact encrypted values of credentials using the `SecretBytes` type when accessing item `config.xml` via     REST API or CLI. (CVE-2024-47805)

  - Jenkins OpenId Connect Authentication Plugin 4.354.v321ce67a_1de8 and earlier does not check the `aud`     (Audience) claim of an ID Token, allowing attackers to subvert the authentication flow, potentially     gaining administrator access to Jenkins. (CVE-2024-47806)

  - Jenkins OpenId Connect Authentication Plugin 4.354.v321ce67a_1de8 and earlier does not check the `iss`     (Issuer) claim of an ID Token, allowing attackers to subvert the authentication flow, potentially gaining     administrator access to Jenkins. (CVE-2024-47807)

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
411120	SCA: security update for org.jenkins-ci.plugins:credentials (GHSA-62jv-j4w7-5hh8)	Tenable Cloud Security	SCA Checks	2025/1/23	2026/7/2	medium
411120	SCA: security update for org.jenkins-ci.plugins:credentials (GHSA-62jv-j4w7-5hh8)	Tenable Self-Hosted Container Security	SCA Checks	2025/1/23	2026/7/2	medium
208097	Jenkins plugin 多個弱點 (2024-10-02)	Nessus	CGI abuses	2024/10/3	2025/2/24	high
208097	Jenkins 插件多个漏洞（2024 年 10 月 2 日）	Nessus	CGI abuses	2024/10/3	2025/2/24	high
208097	Jenkins プラグインの複数の脆弱性 (2024 年 10 月 2 日)	Nessus	CGI abuses	2024/10/3	2025/2/24	high
208097	Jenkins plugins Multiple Vulnerabilities (2024-10-02)	Nessus	CGI abuses	2024/10/3	2025/2/24	high

检测

插件搜索

medium

medium

high

high

high

high