根據其自我報告的版本號碼，遠端 Web 伺服器上執行的 Jenkins plugin 版本受到多個弱點影響：

  - 在 Jenkins 範本引擎 Plugin 2.5.3 及更舊版本中，資料夾中定義的程式庫並未受到沙箱保護，進而允許具有 Item/Configure 權限的攻擊者在 Jenkins 控制器 JVM 的內容中執行任意程式碼。(CVE-2025-31722)

  - Jenkins Simple Queue Plugin 1.4.6 及更早版本中存在一個跨網站要求偽造 (CSRF) 弱點，該弱點允許攻擊者變更並重設構建佇列的順序。(CVE-2025-31723)

  - Jenkins Cadence vManager Plugin 4.0.0-282.v5096a_c2db_275 及更舊版本會將未加密的 Verisium Manager vAPI 金鑰儲存在 Jenkins 控制器上的工作 config.xml 檔案中，而這些 API 金鑰可由具有擴展讀取權限或具有 Jenkins 控制器檔案系統存取權的使用者檢視。(CVE-2025-31724)

  - Jenkins monitor-remote-job Plugin 1.0 會將未加密的密碼儲存在 Jenkins 控制器的工作 config.xml 檔案中，而具有 Extended Read 權限或具有 Jenkins 控制器檔案系統存取權的使用者可以檢視這些密碼。(CVE-2025-31725)

  - Jenkins Stack Hammer Plugin 1.0.6 及更舊版本會將未加密的 Stack Hammer API 金鑰儲存在 Jenkins 控制器上的工作 config.xml 檔案中，而這些 API 金鑰可由具有擴展讀取權限或具有 Jenkins 控制器檔案系統存取權的使用者檢視。(CVE-2025-31726)

  - Jenkins AsakusaSatellite Plugin 0.1.1 及更舊版本會將未加密的 AsakusaSatellite API 金鑰儲存在 Jenkins 控制器上的工作 config.xml 檔案中，而這些 API 金鑰可由具有 Item/Extended 讀取權限或具有 Jenkins 控制器檔案系統存取權的使用者檢視。(CVE-2025-31727)

  - Jenkins AsakusaSatellite Plugin 0.1.1 及更舊版本未遮罩工作設定表單上的 AsakusaSatellite API 金鑰，這增加了攻擊者觀察和擷取這些權杖的可能性。
    (CVE-2025-31728)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

偵測

Jenkins Plugin 多個弱點 (2025-04-02)

high Nessus Plugin ID 233778

版本 1.1