There are packages installed that are affected by a vulnerability referenced in the following CVE:

  - Jenkins versions 2.88 and earlier and 2.73.2 and earlier stores metadata related to 'people', which
    encompasses actual user accounts, as well as users appearing in SCM, in directories corresponding to the
    user ID on disk. These directories used the user ID for their name without additional escaping,
    potentially resulting in problems like overwriting of unrelated configuration files. (CVE-2017-1000391)

远程 Web 服务器上运行的 Jenkins 版本低于 2.89，或为版本低于 2.73.3 的 Jenkins LTS。
因此，该服务器受到多个漏洞的影响：

  - Jenkins 中存在一个缺陷，可导致遍历范围超出限制的路径。该问题是由程序未正确审查用户输入所致，尤其是通过用户名提供的斜杠和路径遍历类型攻击（例如 ‘../’）。利用特制的用户名，远程攻击者可以覆盖系统中的任意文件。

  - Jenkins 包含允许跨站脚本 (XSS) 攻击的缺陷。该缺陷存在的原因是，未验证自动填充建议便将其返回给用户。这可能允许远程攻击者创建特制的请求，在其浏览器与服务器之间信任关系内的用户浏览器会话中执行任意脚本代码。

请注意，Nessus 尚未测试这些问题，而是只依靠应用程序自我报告的版本号。

遠端 Web 伺服器上執行的 Jenkins 為早於 2.89 的版本，或是早於 2.73.3 的 Jenkins LTS 版本。
因此，該應用程式受到多個弱點影響：

  - Jenkins 包含一個允許在受限路徑之外遍歷的缺陷。此問題是因為程式未正確清理使用者輸入所致，尤其是經由使用者名稱提供的正斜線和路徑遊走樣式攻擊 (例如「../」)。遠端攻擊者可透過特製的使用者名稱，覆寫系統上的任意檔案。

  - Jenkins 包含一個允許已儲存跨網站指令碼 (XSS) 攻擊的缺陷。此缺陷之所以存在，是因為程式未驗證自動完成建議便將其傳回給使用者。遠端攻擊者可藉以建立特製的要求，對處於瀏覽器與伺服器之間信任關係內的使用者瀏覽器工作階段，執行任意指令碼。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼。

リモートWebサーバーで実行されているJenkinsのバージョンは、2.89より前か、2.73.3より前のJenkins LTSのバージョンです。
したがって、以下の複数の脆弱性による影響を受けます。

  -Jenkinsには制限されたパスの外をトラバースできる欠陥があります。この問題は、ユーザー入力を適切にサニタイズしていないプログラム、特にユーザー名を使用したスラッシュとパストラバーサルスタイルの攻撃（「../」など）が原因です。リモートの攻撃者が特別に細工されたユーザー名を利用して、システムで任意のファイルを上書きする可能性があります。

  - Jenkinsに、格納型クロスサイトスクリプティング攻撃を可能にする欠陥が含まれています。プログラムがオートコンプリート提案をユーザーに返す前に検証しないためにこの欠陥があります。これにより、リモートの攻撃者が、特別に細工されたリクエストを作成して、ブラウザーとサーバー間の信頼関係において、ユーザーのブラウザーセッションで任意のスクリプトコードを実行する可能性があります。

Nessusはこれらの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

The version of Jenkins running on the remote web server is prior to 2.89 or is a version of Jenkins LTS prior to 2.73.3.
It is, therefore, affected by multiple vulnerabilities :

  - Jenkins contains a flaw that allows traversing outside of a   restricted path. The issue is due to the program not properly   sanitizing user input, specifically slashes and path traversal   style attacks (e.g. '../') supplied via usernames. With a   specially crafted username, a remote attacker can overwrite   arbitrary files on the system.

  - Jenkins contains a flaw that allows a stored cross-site   scripting (XSS) attack. This flaw exists because the program   does not validate autocomplete suggestions before returning it   to users. This may allow a remote attacker to create a specially   crafted request that will execute arbitrary script code in a   user's browser session within the trust relationship between   their browser and the server.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

ID	名稱	產品	系列	已發布	已更新	嚴重性
419898	SCA: security update for org.jenkins-ci.main:jenkins-core (GHSA-wfj3-535m-p6fx)	Tenable Self-Hosted Container Security	SCA Checks	2025/1/23	2026/7/2	high
419898	SCA: security update for org.jenkins-ci.main:jenkins-core (GHSA-wfj3-535m-p6fx)	Tenable Cloud Security	SCA Checks	2025/1/23	2026/7/2	high
104634	Jenkins < 2.73.3 / 2.89 多个漏洞	Nessus	CGI abuses	2017/11/16	2024/6/5	high
104634	Jenkins < 2.73.3 / 2.89 多個弱點	Nessus	CGI abuses	2017/11/16	2024/6/5	high
104634	Jenkins < 2.73.3/2.89の複数の脆弱性	Nessus	CGI abuses	2017/11/16	2024/6/5	high
104634	Jenkins < 2.73.3 / 2.89 Multiple Vulnerabilities	Nessus	CGI abuses	2017/11/16	2024/6/5	high

偵測

搜尋 Plugin

high

high

high

high

high

high