根據其自我報告的版本號碼，遠端 Web 伺服器上執行的 Jenkins plugin 版本受到多個弱點影響：

  - Jenkins buildgraph-view Plugin 1.8 和更早版本不會逸出組建 URL，導致能夠設定作業或檢視的攻擊者可利用儲存的跨網站指令碼 （XSS） 弱點。
    (CVE-2026-48927)

  - Jenkins 電子郵件延伸模組外掛程式 1933.v45cec755423f 及更早版本允許透過設定「data-inline」屬性，將電子郵件內容中的影像內嵌為「base64」，而對可內嵌的影像 URL 沒有限制，因此攻擊者能夠控制電子郵件內容，為影像指定 'file：' URL，以便從 Jenkins 控制器檔案系統讀取任意檔案。（CVE-2026-48920）

  - Jenkins LDAP 外掛程式 807.v7d7de30930cf 和更早版本遵循 LDAP 轉介。（CVE-2026-48916）

  - Jenkins LDAP 外掛程式 807.v7d7de30930cf 和更早版本會在未經驗證的情況下還原序列化來自 LDAP 轉介的資料。（CVE-2026-48917）

  - Jenkins Active Directory 外掛程式 2.41 和更早版本預設會遵循 LDAP 轉介。（CVE-2026-48918）

  - Jenkins Active Directory 外掛程式 2.41 和更早版本會在未經驗證的情況下還原序列化來自 LDAP 轉介的資料。
    (CVE-2026-48919)

  - Jenkins管線：Groovy Libraries Plugin 797.v90ea_a_9b_e45a_0和更早版本不禁止共用程式庫中的符號連結，因此攻擊者能夠控制管線工作用來讀取Jenkins控制器檔案系統上的任意檔案的程式庫內容。（CVE-2026-48921）

  - Jenkins Credentials Binding Plugin 720.v3f6decef43ea_ 和更早版本無法正確清理檔案和 zip 檔案認證的檔案名，允許攻擊者提供認證給工作，以將檔案寫入節點檔案系統上的任意位置，如果Jenkins設定為允許低權限使用者設定用於內建節點上執行的工作的檔案或 zip 檔案認證，則可能會導致遠端程式碼執行。（CVE-2026-48922）

  - Jenkins AppSpider 外掛程式 1.0.17 和更早版本不會在實作表單驗證的方法中執行權限檢查，因此允許具有整體/讀取權限的攻擊者連線到攻擊者指定的 URL。
    (CVE-2026-48923)

  - Jenkins Bitbucket OAuth 外掛程式 0.17 及更早版本不會限制登入後的重新導向 URL，允許攻擊者進行網路釣魚攻擊。（CVE-2026-48924）

  - Jenkins GitHub 整合外掛程式 0.7.3 和舊版中的跨網站要求偽造 （CSRF） 弱點允許攻擊者對攻擊者觸發提取要求的組建。（CVE-2026-48925）

  - Jenkins Multijob Plugin 662.vd2e0001f6b_b_d 和更早版本中的跨網站要求偽造 （CSRF） 弱點允許攻擊者繼續失敗的多工作組建。（CVE-2026-9674）

  - Jenkins Job Import Plugin 143.v044a_2e819b_27 和更早版本不會在HTTP端點中執行權限檢查，因此允許具有整體/讀取權限的攻擊者列舉儲存在 Jenkins 中的憑證的憑證 ID。（CVE-2026-48926）

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

偵測

Jenkins 外掛程式多個弱點（2026-05-27）

high Nessus Plugin ID 317047

版本 1.1

偵測

Jenkins 外掛程式多個弱點 （2026-05-27）

high Nessus Plugin ID 317047

版本 1.1

Jenkins 外掛程式多個弱點（2026-05-27）