遠端 Web 伺服器上執行的 Jenkins 為早於 2.197 的版本，或是早於 2.176.4 的 Jenkins LTS 版本。因此會受到多個弱點影響：

  - /whoAmI/ URL 中存在一個資訊洩漏弱點，這是由於暴露的「Cookie」HTTP 標頭所致。經過驗證的遠端攻擊者可透過單獨的跨網站指令碼 (XSS) 弱點惡意利用此問題，來洩漏潛在敏感資訊。(CVE-2019-10405)

  - f:formbox 表單控制項中存在一個跨網站指令碼 (XSS) 弱點，這是由於表單控制項將其項目標籤解譯為 HTML 所致。若未經驗證的遠端攻擊者對 f:formbox 表單控制項的內容具有控制權限，其便可惡意利用此弱點，在使用者的瀏覽器工作階段中執行任意指令碼。(CVE-2019-10402)

  - 適用於 SCM 標記動作的工具提示中存在一個已儲存跨網站指令碼 (XSS) 弱點，這是由於應用程式未在 SCM 標記名稱中逸出字元所致。有權控制 SCM 標記名稱的經驗證遠端攻擊者可惡意利用此弱點，在使用者的瀏覽器工作階段中執行任意程式碼。(CVE-2019-10403)

遠端 Web 伺服器上執行的 Jenkins 版本還會受到其他跨網站指令碼 (XSS) 弱點影響。(CVE-2019-10401、CVE-2019-10404、CVE-2019-10406)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

偵測

Jenkins < 2.176.4 LTS / 2.197 多個弱點

medium Nessus Plugin ID 130099

版本 1.8