根据其自我报告的版本号，远程 Web 服务器上运行的相应版本的 Jenkins 插件受到多种漏洞的影响：

  - Jenkins OWASP ZAP 插件 1.0.7 及较早版本在 Jenkins 控制器上执行构建操作，而不是在分配的代理上执行构建操作，从而允许具有 Item/Configure 权限的攻击者在 Jenkins 控制器上执行任意代码。（CVE-2026-57301）

  - Jenkins 脚本安全插件 1402.v94c9ce464861 和更早版本未拦截应用至沙盒 Groovy 脚本中类型化 for-each 循环元素的隐式类型转换，从而允许攻击者可提供此类脚本来调用任意构造函数并绕过沙盒保护。（CVE-2026-57280）

  - Jenkins Script Security Plugin 1402.v94c9ce464861 和更早版本不拒绝携带扩展成员的 Groovy AST 转换批注，因此如果评估该脚本的组件的类路径中存在合适的脚本，则能够运行沙盒 Groovy 脚本的攻击者可以在沙盒外部执行代码。（CVE-2026-57281）

  - Jenkins Git 客户端插件 6.6.0 以及更早版本在嵌入到生成的 SSH 包装程序脚本中时未对工作区目录名称进行正确转义，从而允许能够控制版本工作目录名称的攻击者在代理上执行任意操作系统命令。（CVE-2026-57282）

  - Jenkins Pipeline： Groovy 插件 4331.v9d06ed4658ff 和更早版本中的跨站请求伪造 （CSRF） 漏洞允许攻击者通过管道片段生成器实例化与工作或系统配置相关的类型，而不是管道步骤。（CVE-2026-57283）

  - Jenkins Pipeline：Groovy 插件 4331.v9d06ed4658ff 及更早版本不限制可通过管道片段发生器实例化的类型，允许攻击者实例化与管道步骤以外的作业或系统配置相关的类型。（CVE-2026-57284）

  - Jenkins GitHub Branch Source Plugin 1967.1969.v205fd594c821 和更早版本中缺少权限检查，允许具有 Overall/Read 权限的攻击者获取全局插件配置中配置的 GitHub Enterprise 服务器的 URL。（CVE-2026-57285）

  - Jenkins Git Parameter Plugin 462.vdcf3df2ed2ca_ 及更早版本中缺少权限检查，允许具有 Item/Read 权限的攻击者获取关于作业所使用的 SCM 存储库的信息，例如分支名称、标签名称和修订元数据。（CVE-2026-57286）

  - Jenkins Job Configuration History 插件 1356.ve360da_6c523a_ 及更早版本在显示历史作业和代理配置时不会对密码的加密值进行加密，从而允许具有扩展读取权限的攻击者查看原本会被编辑的加密密码值。
    (CVE-2026-57287)

  - Jenkins Active Directory 插件 2.41.1 及更早版本在 Windows 本机 （ADSI） 认证路径中构建 LDAP 搜索过滤器之前未转义用户名，从而允许未经认证的攻击者注入 LDAP 通配符以枚举目录条目，并在不知道确切用户名的情况下认证为他们知道密码的匹配用户。（CVE-2026-57288）

  - Jenkins MCP 服务器插件 0.177.v629fdb_2557fe 及更早版本中缺少权限检查，允许具有 Item/Read 权限的攻击者读取其可访问之作业的管道重播脚本。（CVE-2026-57300）

  - Jenkins Bitbucket Push and Pull Request 插件 3.3.8 及更早版本会无条件禁用 SSL/TLS 证书和主机名验证，以便将持有者令牌认证请求发送到配置的 Bitbucket Server 端点，从而允许攻击者拦截网络流量以捕获令牌。（CVE-2026-57289）

  - Jenkins Priority Sorter 插件 936.v2c01c6b_84449 及更早版本中的跨站请求伪造 （CSRF） 漏洞允许攻击者覆盖全局作业优先级配置。（CVE-2026-57290）

  - Jenkins Gitee 插件 1288.v18b_deb_c9069b_ 及更早版本中缺少权限检查，允许具有 Overall/Read 权限的攻击者使用通过其他方法获取的攻击者指定的凭据 ID 连接到攻击者指定的 URL。（CVE-2026-57291）

  - Jenkins Gitee 插件 1288.v18b_deb_c9069b_ 及更早版本中的跨站请求伪造 （CSRF） 漏洞允许攻击者使用通过其他方法获取的攻击者指定凭据 ID 连接到攻击者指定的 URL。（CVE-2026-57292）

  - Jenkins Gitee Plugin 1288.v18b_deb_c9069b_ 和更早版本中的错误权限检查允许具有全局 Item/Configure 权限（同时对任何特定作业缺少 Item/Configure 权限）的攻击者枚举存储在 Jenkins 中的凭据的凭据 ID。（CVE-2026-57293）

  - Jenkins EC2 Fleet Plugin 4.2.3.539.v8fedff2a_81c3 及更早版本中缺少权限检查，允许具有 Overall/Read 权限的攻击者使用通过其他方法获取的攻击者指定的凭据 ID 连接到攻击者指定的 URL，从而捕获存储在 Jenkins 中的 AWS 凭据。
    (CVE-2026-57294)

  - Jenkins EC2 Fleet Plugin 4.2.3.539.v8fedff2a_81c3 及更早版本中的跨站请求伪造 （CSRF） 漏洞允许攻击者使用通过其他方法获取的攻击者指定凭据 ID 连接到攻击者指定的 URL，从而捕获存储在 Jenkins 中的 AWS 凭据。（CVE-2026-57295）

  - Jenkins External Workspace Manager 插件 1.3.2 及更早版本不拒绝为 exwsAllocate Pipeline 步骤提供的自定义工作区路径中的路径遍历序列，允许具有 Item/Configure 权限的攻击者读取 Jenkins 控制器文件系统上的任意文件，这可导致远程代码执行。（CVE-2026-57296）

  - Jenkins Contrast Continuous Application Security 插件 3.11 及更早版本中缺少权限检查，允许具有 Overall/Read 权限的攻击者使用攻击者指定的用户名、API 密钥和服务密钥连接到攻击者指定的 URL。（CVE-2026-57297）

  - Jenkins Contrast Continuous Application Security 插件 3.11 和更早版本中的跨站请求伪造 （CSRF） 漏洞允许攻击者使用攻击者指定的用户名、API 密钥和服务密钥使 Jenkins 连接到攻击者指定的 URL。（CVE-2026-57298）

  - Jenkins Contrast Continuous Application Security 插件 3.11 及更早版本中缺少权限检查，允许具有 Overall/Read 权限的攻击者枚举配置的 Contrast 元数据的名称。
    (CVE-2026-57299)

  - Jenkins FitNesse 插件 1.36 及先前版本将未加密的密码存储在 Jenkins 控制器上的作业config.xml文件中，具有扩展读取权限或 Jenkins 控制器文件系统访问权限的用户可在其中查看这些密码。（CVE-2026-57302）

  - Jenkins Assembla 插件 1.4 及更早版本未配置其 XML 解析器以防止 XML 外部实体 （XXE） 攻击，允许攻击者能够控制已配置 Assembla 服务器的响应，以从 Jenkins 控制器提取密码或执行服务器端请求伪造。（CVE-2026-57303）

  - Jenkins Assembla 插件 1.4 及较早版本中缺少权限检查，允许具有 Overall/Read 权限的攻击者使用攻击者指定的用户名和密码连接到攻击者指定的 URL。
    (CVE-2026-57304)

  - Jenkins Assembla 插件 1.4 及更早版本中的跨站请求伪造 （CSRF） 漏洞允许攻击者使用攻击者指定的用户名和密码连接到攻击者指定的 URL。
    (CVE-2026-57305)

  - Jenkins Zowe zDevOps Plugin 1.1.3.50.ve350c9b_450b_1 和更早版本中的跨站请求伪造 （CSRF） 漏洞允许攻击者使用通过其他方法获取的攻击者指定凭据 ID 连接到攻击者指定的 URL，从而捕获存储在 Jenkins 中的凭据。（CVE-2026-57306）

  - Jenkins Zowe zDevOps 插件 1.1.3.50.ve350c9b_450b_1 和更早版本中缺少权限检查，允许具有 Overall/Read 权限的攻击者使用通过其他方法获取的攻击者指定的凭据 ID 连接到攻击者指定的 URL，从而捕获存储在 Jenkins 中的凭据。（CVE-2026-57307）

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

检测

插件搜索

medium