Jenkins 插件 多重漏洞（2026-04-29）
critical Nessus 插件 ID 310885
语言：
简介
远程 Web 服务器主机上运行的应用程序受到多个漏洞影响描述
根据其自我报告的版本号，远程 Web 服务器上运行的相应版本的 Jenkins 插件受到多种漏洞的影响：- 高 HTML Publisher 插件 427 及更早版本无法在遗留包装文件中逃逸作业名称和 URL。
这会导致具有项目/配置权限的攻击者可利用存储型跨站脚本 (XSS) 漏洞。HTML Publisher插件 427.1 在生成遗留包装文件时会逃逸作业名称和URL。此修复仅适用于新生成的包装器。在Jenkins 2.539 及更先进的LTS 2.541.1 及更新版本中，执行内容安全策略保护可以减轻该漏洞。该漏洞已通过欧盟委员会赞助的詹金斯虫子赏金计划报告。
(CVE-2026-42524)
- Medium Script 安全插件1399.ve6a_66547f6e1及更早版本不会在 HTTP 端点执行权限检查。这使得拥有 Overall/Read 权限的攻击者能够枚举待处理和批准的脚本安全类路径。脚本安全插件 1402.v94c9ce464861 要求 Overall/Administer 权限来枚举待处理和批准的脚本安全类路径。该漏洞已通过欧盟委员会赞助的詹金斯虫子赏金计划报告。（CVE-2026-42519）
- 高凭证绑定插件719.v80e905ef14eb_及更早版本不对文件和压缩文件凭证进行净化。这使得攻击者能够向作业提供凭证，将文件写入节点文件系统中的任意位置。如果 Jenkins 配置允许低权限用户配置用于内置节点上运行作业的文件或压缩文件凭据，这可能导致远程代码执行。凭据绑定插件720.v3f6decef43ea_净化文件和压缩文件凭据所提供的文件名，防止路径穿越。该漏洞已通过欧盟委员会赞助的詹金斯虫子赏金计划报告。（CVE-2026-42520）
- Medium Matrix Authorization Strategy 插件 2.0-beta-1 通过 3.2.9 （两者包含）调用在反序列化继承策略时配置中指定的类的无参数构造子，但不限制可实例化的类。攻击者可能会滥用该权限，利用Item/配置权限实例化任意类型，可能导致信息泄露或其他影响，具体取决于类路径上可用的类。矩阵授权策略插件 3.2.10 验证被实例化的类是否为继承策略实现，防止任意类型的实例化。该漏洞已通过欧盟委员会赞助的詹金斯虫子赏金计划报告。（CVE-2026-42521）
- Medium GitHub 分支源插件1967.vdea_d580c1a_b_a_及更早版本在实现表单验证的方法中不进行权限检查。这使得拥有Overall/Read权限的攻击者能够连接到攻击者指定的URL及其指定的GitHub应用凭证。GitHub 分支源插件 1967.1969.v205fd594c821 需要 Overall/Manage 权限才能进行连接测试。该漏洞已通过欧盟委员会赞助的詹金斯虫子赏金计划报告。（CVE-2026-42522）
- GitHub 插件 1.46.0 及早期错误处理当前工作 URL，作为 JavaScript 实现 GitHub 钩子触发功能验证 GITScm 轮询功能的一部分。这导致了一个存储的跨站脚本（XSS）漏洞，非匿名攻击者可利用拥有Overall/Read权限。GitHub 插件 1.46.0.1 不再作为 JavaScript 实现 GitHub 钩子触发功能验证 GITScm 轮询功能的一部分来处理当前的职位 URL。该漏洞已通过欧盟委员会赞助的詹金斯虫子赏金计划报告。
(CVE-2026-42523)
- Medium Microsoft Entra ID（前称Azure AD）插件666.v6060de32f87d及更早版本不限制登录后的重定向URL。攻击者可借此让用户访问 Jenkins URL，进而在用户成功进行身份验证后将其转发至其他站点，从而执行钓鱼攻击。Microsoft Entra ID（前称Azure AD）插件667.v4c5827a_e74a_0只重定向到相对（Jenkins）URL。
(CVE-2026-42525)
请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。
解决方案
将 Jenkins 插件更新到以下版本：- 版本720.v3f6decef43ea_或更高版本的凭证绑定插件
- GitHub 分支源插件，版本为1967.1969.v205fd594c821或更高版本
- GitHub 插件升级至 1.46.0.1 或更高版本
- 将 HTML Publisher 插件升级至 427.1 或更高版本
- 矩阵授权策略插件，版本或更高版本3.2.10
- Microsoft Entra ID（前称Azure AD）插件，版本667.v4c5827a_e74a_0或更高版本
- 脚本安全插件，版本为1402.v94c9ce464861或更高版本
有关更多详细信息，请参阅供应商公告。
另见
插件详情
严重性: Critical
ID: 310885
文件名: jenkins_security_advisory_2026-04-29_plugins.nasl
版本: 1.2
类型: Combined
代理: windows, macosx, unix
系列: CGI abuses
发布时间: 2026/4/29
最近更新时间: 2026/4/30
支持的传感器: Nessus Agent, Nessus
Enable CGI Scanning: true
风险信息
VPR
风险因素: High
分数: 8.4
CVSS v2
风险因素: High
基本分数: 9
时间分数: 6.7
矢量: CVSS2#AV:N/AC:L/Au:S/C:C/I:C/A:C
CVSS 分数来源: CVE-2026-42524
CVSS v3
风险因素: Critical
基本分数: 9
时间分数: 7.8
矢量: CVSS:3.0/AV:N/AC:L/PR:L/UI:R/S:C/C:H/I:H/A:H
时间矢量: CVSS:3.0/E:U/RL:O/RC:C
CVSS 分数来源: CVE-2026-42523
漏洞信息
CPE: cpe:/a:jenkins:jenkins, cpe:/a:cloudbees:jenkins
必需的 KB 项: installed_sw/Jenkins
易利用性: No known exploits are available
补丁发布日期: 2026/4/29
漏洞发布日期: 2026/4/29
参考资料信息
CVE: CVE-2026-42519, CVE-2026-42520, CVE-2026-42521, CVE-2026-42522, CVE-2026-42523, CVE-2026-42524, CVE-2026-42525