There are packages installed that are affected by a vulnerability referenced in the following CVE:

  - Jenkins MCP Server Plugin 0.84.v50ca_24ef83f2 and earlier does not perform permission checks in multiple
    MCP tools, allowing attackers to trigger builds and obtain information about job and cloud configuration
    they should not be able to access. (CVE-2025-64132)

根據其自我報告的版本號碼，遠端 Web 伺服器上執行的 Jenkins plugin 版本受到多個弱點影響：

  - Jenkins Azure CLI 外掛程式 0.9 和更舊版本未限制其在 Jenkins 控制器上執行的命令進而允許擁有項目/組態權限的攻擊者執行任意殼層命令。
    (CVE-2025-64140)

  - Jenkins SAML 外掛程式 4.583.vc68232f7018a_ 和更舊版本未實作重播快取進而允許攻擊者取得使用者網頁瀏覽器與 Jenkins 之間的 SAML 驗證流程相關資訊以重播這些要求並以該使用者的身分向 Jenkins 驗證。 (CVE-2025-64131)

  - Jenkins MCP Server Plugin 0.84.v50ca_24ef83f2 及更舊版本不會在多個 MCP 工具中執行權限檢查進而允許攻擊者觸發構建並取得其不應存取的工作和雲端組態相關資訊。 (CVE-2025-64132)

  - Jenkins Extensiblechoice 外掛程式 239.v5f5c278708cf 和更舊版本中有一個跨網站要求偽造 (CSRF) 弱點會允許攻擊者執行沙箱化的 Groovy 程式碼。 (CVE-2025-64133)

  - Jenkins JDepend Plugin 1.3.1 和更舊版本包含 JDepend Maven 外掛程式的過時版本其未設定其 XML 剖析器來防止 XML 外部實體 (XXE) 攻擊。 (CVE-2025-64134)

  - Jenkins eggplant Runner 外掛程式 0.0.1.301.v963cffe8ddb_8 和更舊版本會將 Java 系統內容「jdk.http.auth.tunneling.disabledSchemes」設為空值進而停用 Java 運行時間的保護機制。 (CVE-2025-64135)

  - Jenkins Themis 外掛程式 1.4.1 和更舊版本中有一個跨網站要求偽造 (CSRF) 弱點允許攻擊者連線至攻擊者指定的 HTTP 伺服器。 (CVE-2025-64136)

  - 在 Jenkins Themis 外掛程式 1.4.1 和更舊版本中遺漏權限檢查具有 Overall/Read 權限的攻擊者可藉以連線至攻擊者指定的 HTTP 伺服器。 (CVE-2025-64137)

  - Jenkins Start Windocks Containers Plugin 1.4 和更舊版本中有一個跨網站要求偽造 (CSRF) 弱點允許攻擊者連線至攻擊者指定的 URL。 (CVE-2025-64138)

  - 在 Jenkins Start Windocks Containers Plugin 1.4 和更舊版本中遺漏權限檢查具有 Overall/Read 權限的攻擊者可藉以連線至攻擊者指定的 URL。 (CVE-2025-64139)

  - Jenkins Nexus Task Runner Plugin 0.9.2 和更舊版本中有一個跨網站要求偽造 (CSRF) 弱點允許攻擊者使用攻擊者指定的認證連線至攻擊者指定的 URL。
    (CVE-2025-64141)

  - 在 Jenkins Nexus Task Runner Plugin 0.9.2 和更舊版本中遺漏權限檢查具有 Overall/Read 權限的攻擊者可藉此使用攻擊者指定的認證連線至攻擊者指定的 URL。
    (CVE-2025-64142)

  - Jenkins OpenShift Pipeline Plugin 1.0.57 與更舊版本將未加密的授權 token 儲存在 Jenkins 控制器上具有項目/延伸讀取權限或存取 Jenkins 控制器檔案系統的使用者可檢視的位置。 (CVE-2025-64143)

  - Jenkins ByteGuard Build Actions Plugin 1.0 將未加密的 API token 儲存在 Jenkins 控制器上具有項目/延伸讀取權限或存取 Jenkins 控制器檔案系統的使用者檢視的工作 config.xml 檔案中。 (CVE-2025-64144)

  - Jenkins ByteGuard Build Actions Plugin 1.0 未遮蔽顯示在工作組態表單上的 API token增加了攻擊者觀察和擷取的機率。 (CVE-2025-64145)

  - Jenkins Curseforge Publisher Plugin 1.0 將未加密的 API 金鑰以工作 config.xml 檔案儲存在 Jenkins 控制器上具有項目/延伸讀取權限或存取 Jenkins 控制器檔案系統的使用者可檢視這些金鑰。 (CVE-2025-64146)

  - Jenkins Curseforge Publisher Plugin 1.0 未遮罩顯示在工作組態表單上的 API 金鑰增加了攻擊者觀察和擷取這些金鑰的機率。 (CVE-2025-64147)

  - 在 Jenkins Publish to Bitbucket Plugin 0.4 和更舊版本中遺漏權限檢查可讓具有 Overall/Read 權限的攻擊者列舉儲存在 Jenkins 中的憑證 ID。 (CVE-2025-64148)

  - Jenkins Publish to Bitbucket Plugin 0.4 和更舊版本中有一個跨網站要求偽造 (CSRF) 弱點其允許攻擊者使用透過其他方法取得的攻擊者指定認證 ID 連線至攻擊者指定的 URL進而擷取儲存在 Jenkins 中的認證。 (CVE-2025-64149)

  - 在 Jenkins Publish to Bitbucket Plugin 0.4 和更舊版本中遺漏權限檢查這可讓具有 Overall/Read 權限的攻擊者使用透過其他方法取得的攻擊者指定認證 ID連線至攻擊者指定的 URL進而擷取儲存在 Jenkins 中的認證。 (CVE-2025-64150)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

根据其自我报告的版本号，远程 Web 服务器上运行的相应版本的 Jenkins 插件受到多种漏洞的影响：

  - Jenkins Azure CLI 插件 0.9 和更早版本未限制其在 Jenkins 控制器上执行的命令从而允许具有项目/配置权限的攻击者执行任意 shell 命令。
    (CVE-2025-64140)

  - Jenkins SAML Plugin 4.583.vc68232f7018a_ 和更早版本未实现重放缓存允许攻击者获取有关用户 Web 浏览器和 Jenkins 之间 SAML 认证流的信息以重放这些请求从而向 Jenkins 确认身份为该用户。 (CVE-2025-64131)

  - Jenkins MCP Server Plugin 0.84.v50ca_24ef83f2 及更低版本未在多种 MCP 工具中执行权限检查允许攻击者触发版本并获取他们本无权访问的作业和云配置的信息。 (CVE-2025-64132)

  - Jenkins 可扩展选择参数插件 239.v5f5c278708cf 和较早版本中的跨站请求伪造 (CSRF) 漏洞允许攻击者执行沙盒中的 Groovy 代码。 (CVE-2025-64133)

  - Jenkins JDepend Plugin 1.3.1 和更早版本包含 JDepend Maven Plugin 的过时版本该版本不会配置其 XML 解析器以防止 XML 外部实体 (XXE) 攻击。 (CVE-2025-64134)

  - Jenkins eggplant Runner Plugin 0.0.1.301.v963cffe8ddb_8 和更早版本将 Java 系统属性 `jdk.http.auth.tunneling.disabledSchemes` 设置为空值从而禁用 Java 运行时的保护机制。 (CVE-2025-64135)

  - Jenkins Themis 插件 1.4.1 和更早版本中的跨站请求伪造 (CSRF) 漏洞允许攻击者连接到攻击者指定的 HTTP 服务器。 (CVE-2025-64136)

  - Jenkins Themis 插件 1.4.1 和较早版本中缺少的权限检查允许具有 Overall/Read 权限的攻击者连接到攻击者指定的 HTTP 服务器。 (CVE-2025-64137)

  - Jenkins Start Windocks Containers Plugin 1.4 和更早版本中的跨站请求伪造 (CSRF) 漏洞允许攻击者连接到攻击者指定的 URL。 (CVE-2025-64138)

  - Jenkins Start Windocks Containers 插件 1.4 和更早版本中缺少权限检查这允许具有 Overall/Read 权限的攻击者连接到攻击者指定的 URL。 (CVE-2025-64139)

  - Jenkins Nexus Task Runner 插件 0.9.2 和更早版本中的跨站请求伪造 (CSRF) 漏洞允许攻击者使用攻击者指定的凭据连接到攻击者指定的 URL。
    (CVE-2025-64141)

  - Jenkins Nexus Task Runner 插件 0.9.2 和更早版本中缺少的权限检查允许具有 Overall/Read 权限的攻击者使用攻击者指定的凭据连接到攻击者指定的 URL。
    (CVE-2025-64142)

  - Jenkins OpenShift Pipeline 插件 1.0.57 和更早版本将未加密的授权标记存储在 Jenkins 控制器的作业 config.xml 文件中可供具有项目/扩展读取权限或 Jenkins 控制器文件系统访问权限的用户查看。 (CVE-2025-64143)

  - Jenkins ByteGuard Build Actions 插件 1.0 将未加密的 API 标记存储在 Jenkins 控制器上的作业 config.xml 文件中被具有项目/扩展读取权限或 Jenkins 控制器文件系统访问权限的用户查看。 (CVE-2025-64144)

  - Jenkins ByteGuard Build Actions 插件 1.0 未掩盖作业配置表单上显示的 API 标记从而增加了攻击者观察和捕获这些标记的可能性。 (CVE-2025-64145)

  - Jenkins Curseforge Publisher 插件 1.0 在 Jenkins 控制器上的作业 config.xml 文件中存储未加密的 API 密钥只有具有项目/扩展读取权限或 Jenkins 控制器文件系统访问权限的用户才能查看。 (CVE-2025-64146)

  - Jenkins Curseforge Publisher 插件 1.0 未掩盖作业配置表单上显示的 API 密钥从而增加了攻击者观察和捕获这些密钥的可能性。 (CVE-2025-64147)

  - Jenkins Publish to Bitbucket 插件 0.4 和更早版本中缺少的权限检查允许具有 Overall/Read 权限的攻击者枚举 Jenkins 中存储的凭据 ID。 (CVE-2025-64148)

  - Jenkins Publish to Bitbucket 插件 0.4 和更早版本中的跨站请求伪造 (CSRF) 漏洞允许攻击者使用通过另一种方法捕获的攻击者指定的凭据 ID 连接到攻击者指定的 URL从而捕获 Jenkins 中存储的凭据。 (CVE-2025-64149)

  - Jenkins Publish to Bitbucket 插件 0.4 和更早版本中缺少一个权限检查允许具有 Overall/Read 权限的攻击者使用通过捕获 Jenkins 的另一种方法获得的攻击者指定的凭据 ID 连接到攻击者指定的 URL。 (CVE-2025-64150)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

自己報告によるバージョン番号によると、リモートウェブサーバー上で実行されているバージョンの Jenkins プラグインは、次の複数の脆弱性の影響を受けます。

  - Jenkins Azure CLI プラグイン 0.9 およびそれ以前は、Jenkins コントローラーで実行するコマンドを制限しないため、Item/Configure 権限を持つ攻撃者が任意のシェルコマンドを実行する可能性があります。
    (CVE-2025-64140)

  - SAML プラグイン 4.583.vc68232f7018a_ 以前はリプレイキャッシュを実装しないため、攻撃者がユーザーの Web ブラウザと Jenkins の間の SAML 認証フローに関する情報を取得して、リクエストをリプレイし、そのユーザーとして Jenkins に対して認証を行うことが可能です。CVE-2025-64131

  - Jenkins MCP サーバープラグイン 0.84.v50ca_24ef83f2 以前は、複数の MCP ツールで権限チェックを実行しません。このため、攻撃者がビルドをトリガーし、アクセスできないはずのジョブやクラウド設定に関する情報を取得する可能性があります。CVE-2025-64132

  - Jenkins Extensible choose Parameter Plugin 239.v5f5c278708cf 以前のクロスサイトリクエスト偽造CSRFの脆弱性により、攻撃者がサンドボックス化された Groovy コードを実行する可能性があります。CVE-2025-64133

  - Jenkins JDepend Plugin 1.3.1 以前には、XML パーサーが XML 外部エンティティXXE攻撃を防ぐように構成されていない、旧式の JDepend Maven プラグインが含まれています。CVE-2025-64134

  - Jenkins egg子インスタンスRunner Plugin 0.0.1.301.v963cffe8ddb_8 以前は、Java システムプロパティの「jdk.http.auth.tunneling.disabledSchemes」を空の値に設定し、Java ランタイムの保護メカニズムを無効にします。CVE-2025-64135

  - Jenkins Themis Plugin 1.4.1 およびそれ以前のクロスサイトリクエスト偽造CSRFの脆弱性により、攻撃者が、攻撃者が指定した HTTP サーバーに接続する可能性があります。CVE-2025-64136

  - Jenkins Themis Plugin 1.4.1 およびそれ以前の権限チェックがないため、Overall/Read 権限を持つ攻撃者が、攻撃者指定の HTTP サーバーに接続する可能性があります。CVE-2025-64137

  - Jenkins Start Windocks Containers Plugin 1.4 およびそれ以前のクロスサイトリクエスト偽造CSRFの脆弱性により、攻撃者が攻撃者指定の URL に接続する可能性があります。CVE-2025-64138

  - Jenkins Start Windocks Containers Plugin 1.4 およびそれ以前の権限チェックがないため、Overall/Read 権限を持つ攻撃者が攻撃者指定の URL に接続する可能性があります。CVE-2025-64139

  - Jenkins Nexus Task Runner Plugin 0.9.2 およびそれ以前のクロスサイトリクエスト偽造CSRFの脆弱性により、攻撃者は、攻撃者指定の認証情報を使用して攻撃者指定の URL に接続することが可能です。
    (CVE-2025-64141)

  - Jenkins Nexus Task Runner Plugin 0.9.2 およびそれ以前の権限チェックがないため、Overall/Read 権限を持つ攻撃者が、攻撃者指定の認証情報を使用して攻撃者指定の URL に接続することが可能です。
    (CVE-2025-64142)

  - Jenkins OpenShift Pipelineプラグイン 1.0.57 以前では、Jenkinsコントローラーのjob config.xmlファイルに暗号化されていない承認トークンが保存され、Item/Extended Read権限を持つユーザー、またはJenkinsコントローラーファイルシステムにアクセスできるユーザーが表示する可能性があります。CVE-2025-64143

  - Jenkins ByteGuard Build Actions プラグイン 1.0 は、API トークンを Jenkins コントローラーの job config.xml ファイルに暗号化されていない状態で保存し、Item/Extended Read 権限を持つユーザー、または Jenkins コントローラーファイルシステムへのアクセス権を持つユーザーがこれを表示できます。CVE-2025-64144

  - Jenkins ByteGuard Build Actions Plugin 1.0 は、ジョブ構成フォームに表示される API トークンをマスクしないため、攻撃者が監視およびキャプチャする可能性が高まります。CVE-2025-64145

  - Jenkins Curseforge Publisher Plugin 1.0 は、Jenkins コントローラーの job config.xml ファイルに暗号化されていない API キーを保存し、Item/Extended Read 権限を持つユーザー、または Jenkins コントローラーファイルシステムへのアクセス権を持つユーザーが表示することができます。CVE-2025-64146

  - Jenkins Curseforge Publisher Plugin 1.0 は、ジョブ構成フォームに表示される API キーをマスクしないため、攻撃者が監視および取得する可能性が高まります。CVE-2025-64147

  - Jenkins Publish to Bitbucket Plugin 0.4 およびそれ以前の権限チェックが存在しないため、Overall/Read 権限を持つ攻撃者が Jenkins に保存されている認証情報の認証情報 ID を列挙することが可能です。CVE-2025-64148

  - Jenkins Publish to Bitbucket Plugin 0.4 およびそれ以前のクロスサイトリクエスト偽造CSRFの脆弱性により、攻撃者が、別の方法で取得した攻撃者指定の認証情報 ID を使用して攻撃者指定の URL に接続し、Jenkins に保存されている認証情報をキャプチャする可能性があります。CVE-2025-64149

  - Jenkins Publish to Bitbucket Plugin 0.4 およびそれ以前の権限チェックがないため、Overall/Read 権限を持つ攻撃者が、別の方法で取得した攻撃者指定の認証情報 ID を使用して攻撃者指定の URL に接続し、Jenkins に保存されている認証情報をキャプチャできます。CVE-2025-64150

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

According to their self-reported version numbers, the version of Jenkins plugins running on the remote web server are affected by multiple vulnerabilities:

  - Jenkins Azure CLI Plugin 0.9 and earlier does not restrict which commands it executes on the Jenkins     controller, allowing attackers with Item/Configure permission to execute arbitrary shell commands.
    (CVE-2025-64140)

  - Jenkins SAML Plugin 4.583.vc68232f7018a_ and earlier does not implement a replay cache, allowing attackers     able to obtain information about the SAML authentication flow between a user's web browser and Jenkins to     replay those requests, authenticating to Jenkins as that user. (CVE-2025-64131)

  - Jenkins MCP Server Plugin 0.84.v50ca_24ef83f2 and earlier does not perform permission checks in multiple     MCP tools, allowing attackers to trigger builds and obtain information about job and cloud configuration     they should not be able to access. (CVE-2025-64132)

  - A cross-site request forgery (CSRF) vulnerability in Jenkins Extensible Choice Parameter Plugin     239.v5f5c278708cf and earlier allows attackers to execute sandboxed Groovy code. (CVE-2025-64133)

  - Jenkins JDepend Plugin 1.3.1 and earlier includes an outdated version of JDepend Maven Plugin that does     not configure its XML parser to prevent XML external entity (XXE) attacks. (CVE-2025-64134)

  - Jenkins Eggplant Runner Plugin 0.0.1.301.v963cffe8ddb_8 and earlier sets the Java system property     `jdk.http.auth.tunneling.disabledSchemes` to an empty value, disabling a protection mechanism of the Java     runtime. (CVE-2025-64135)

  - A cross-site request forgery (CSRF) vulnerability in Jenkins Themis Plugin 1.4.1 and earlier allows     attackers to connect to an attacker-specified HTTP server. (CVE-2025-64136)

  - A missing permission check in Jenkins Themis Plugin 1.4.1 and earlier allows attackers with Overall/Read     permission to connect to an attacker-specified HTTP server. (CVE-2025-64137)

  - A cross-site request forgery (CSRF) vulnerability in Jenkins Start Windocks Containers Plugin 1.4 and     earlier allows attackers to connect to an attacker-specified URL. (CVE-2025-64138)

  - A missing permission check in Jenkins Start Windocks Containers Plugin 1.4 and earlier allows attackers     with Overall/Read permission to connect to an attacker-specified URL. (CVE-2025-64139)

  - A cross-site request forgery (CSRF) vulnerability in Jenkins Nexus Task Runner Plugin 0.9.2 and earlier     allows attackers to connect to an attacker-specified URL using attacker-specified credentials.
    (CVE-2025-64141)

  - A missing permission check in Jenkins Nexus Task Runner Plugin 0.9.2 and earlier allows attackers with     Overall/Read permission to connect to an attacker-specified URL using attacker-specified credentials.
    (CVE-2025-64142)

  - Jenkins OpenShift Pipeline Plugin 1.0.57 and earlier stores authorization tokens unencrypted in job     config.xml files on the Jenkins controller where they can be viewed by users with Item/Extended Read     permission, or access to the Jenkins controller file system. (CVE-2025-64143)

  - Jenkins ByteGuard Build Actions Plugin 1.0 stores API tokens unencrypted in job config.xml files on the     Jenkins controller where they can be viewed by users with Item/Extended Read permission, or access to the     Jenkins controller file system. (CVE-2025-64144)

  - Jenkins ByteGuard Build Actions Plugin 1.0 does not mask API tokens displayed on the job configuration     form, increasing the potential for attackers to observe and capture them. (CVE-2025-64145)

  - Jenkins Curseforge Publisher Plugin 1.0 stores API Keys unencrypted in job config.xml files on the Jenkins     controller where they can be viewed by users with Item/Extended Read permission, or access to the Jenkins     controller file system. (CVE-2025-64146)

  - Jenkins Curseforge Publisher Plugin 1.0 does not mask API Keys displayed on the job configuration form,     increasing the potential for attackers to observe and capture them. (CVE-2025-64147)

  - A missing permission check in Jenkins Publish to Bitbucket Plugin 0.4 and earlier allows attackers with     Overall/Read permission to enumerate credentials IDs of credentials stored in Jenkins. (CVE-2025-64148)

  - A cross-site request forgery (CSRF) vulnerability in Jenkins Publish to Bitbucket Plugin 0.4 and earlier     allows attackers to connect to an attacker-specified URL using attacker-specified credentials IDs obtained     through another method, capturing credentials stored in Jenkins. (CVE-2025-64149)

  - A missing permission check in Jenkins Publish to Bitbucket Plugin 0.4 and earlier allows attackers with     Overall/Read permission to connect to an attacker-specified URL using attacker-specified credentials IDs     obtained through another method, capturing credentials stored in Jenkins. (CVE-2025-64150)

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
435873	SCA: security update for io.jenkins.plugins:mcp-server (GHSA-mrpq-9jr3-rqq9)	Tenable Cloud Security	SCA Checks	2025/10/30	2026/7/2	medium
435873	SCA: security update for io.jenkins.plugins:mcp-server (GHSA-mrpq-9jr3-rqq9)	Tenable Self-Hosted Container Security	SCA Checks	2025/10/30	2026/7/2	medium
271958	Jenkins 外掛程式多個弱點 (2025-10-29)	Nessus	CGI abuses	2025/10/29	2025/10/30	high
271958	Jenkins 插件多个漏洞 (2025-10-29)	Nessus	CGI abuses	2025/10/29	2025/10/30	high
271958	Jenkins プラグインの複数の脆弱性 (2025 年 10 月 29 日)	Nessus	CGI abuses	2025/10/29	2025/10/30	high
271958	Jenkins plugins Multiple Vulnerabilities (2025-10-29)	Nessus	CGI abuses	2025/10/29	2025/10/30	high

检测

插件搜索

medium

medium

high

high

high

high