The version of Jenkins running on the remote web server is prior to 2.146 or is a version of Jenkins LTS prior to 2.138.2. It is, therefore, affected by multiple vulnerabilities:
  - A cross-site scripting (XSS) vulnerability exists due to improper validation of user-supplied input before     returning it to users. An unauthenticated, remote attacker can exploit this, by convincing a user to click a     specially crafted URL, to execute arbitrary script code in a user's browser session (CVE-2018-1000407).

  - A denial of service (DoS) vulnerability exists in the HudsonPrivateSecurityRealm class of Jenkins. An     unauthenticated, remote attacker can exploit this issue, by sending crafted, repeated HTTP requests to particular     URLs, to cause the application to stop responding (CVE-2018-1000408).

  - A directory traversal vulnerability exists in the version of the Stapler Web Framework, which is bundled with     Jenkins. An authenticated, remote attacker can exploit this, by sending a URI that contains directory traversal     characters, to disclose the contents of files located outside of the server's restricted path (CVE-2018-1000997).

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

リモートWebサーバーで実行されているJenkinsのバージョンは、2.146より前か、2.138.2より前のJenkins LTSのバージョンです。そのため、以下の複数の脆弱性の影響を受けます。
  - ユーザー指定の入力をユーザーに返す前に不適切に検証しているため、クロスサイトスクリプティング（XSS）の脆弱性があります。認証されていないリモートの攻撃者がこれを悪用し、特別に細工されたURLをクリックするようユーザーを誘導して、ユーザーのブラウザセッションで任意のスクリプトコードを実行する可能性があります（CVE-2018-1000407）。

  - JenkinsのHudsonPrivateSecurityRealmクラスにサービス拒否（DoS）の脆弱性があります。認証されていないリモートの攻撃者がこの問題を悪用し、細工した、繰り返しのHTTPリクエストを特定のURLに送信することによって、アプリケーションの応答を停止させる可能性があります（CVE-2018-1000408）。

  - JenkinsにバンドルされているStapler Web Frameworkのバージョンに、ディレクトリトラバーサルの脆弱性があります。認証されたリモートの攻撃者がこれを悪用し、ディレクトリトラバーサル文字を含むURIを送信して、サーバーの制限されたパスの外側にあるファイルの内容を漏えいさせる可能性があります（CVE-2018-1000997）。

Nessusはこれらの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

遠端 Web 伺服器上執行的 Jenkins 為早於 2.146 的版本，或是早於 2.138.2 的 Jenkins LTS 版本。因此，會受到多個弱點影響：
  - 存在一個跨網站指令碼 (XSS) 弱點，這是因為未正確驗證使用者提供的輸入，便將其傳回給使用者所導致。未經驗證的遠端攻擊者可惡意利用此弱點，誘騙使用者按一下特製的 URL，藉此在使用者的瀏覽器工作階段中執行任意指令碼 (CVE-2018-1000407)。

  - Jenkins 的 HudsonPrivateSecurityRealm 類別中有一個拒絕服務 (DoS) 弱點。未經驗證的遠端攻擊者可惡意利用此問題，透過傳送特製的重覆 HTTP 要求到特定 URL，造成應用程式停止回應 (CVE-2018-1000408)。

  - Jenkins 隨附的 Stapler Web Framework 版本中有一個目錄遊走弱點。經驗證的遠端攻擊者可惡意利用此弱點，透過傳送含有目錄遊走字元的 URI，暴露伺服器限制路徑外的檔案內容 (CVE-2018-1000997)。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼。

远程 Web 服务器上运行的 Jenkins 版本低于 2.146，或为版本低于 2.138.2 的 Jenkins LTS。因此，该应用程序受到多个漏洞的影响：
  - 存在一个跨站脚本 (XSS) 漏洞，这是因为未正确验证用户提供的输入，便将其返回给用户所导致。未经身份验证的远程攻击者可利用此问题，通过诱使用户单击特制的 URL，在用户的浏览器会话中执行任意脚本代码 (CVE-2018-1000407)。

  - Jenkins 的 HudsonPrivateSecurityRealm 类中存在拒绝服务 (DoS) 漏洞。未经身份验证的远程攻击者可利用此问题，通过发送特制的重复 HTTP 请求至特定的 URL，造成应用程序停止响应 (CVE-2018-1000408)。

  - Jenkins 捆绑的 Stapler Web Framework 版本中存在一个目录遍历漏洞。经身份验证的远程攻击者可利用此问题，通过发送包含目录遍历字符的 URI，泄露服务器受限路径外的文件内容 (CVE-2018-1000997)。

请注意，Nessus 尚未测试这些问题，而是只依靠应用程序自我报告的版本号。

ID	名稱	產品	系列	已發布	已更新	嚴重性
118147	Jenkins < 2.138.2 (LTS) / 2.146 Multiple Vulnerabilities	Nessus	CGI abuses	2018/10/16	2024/7/31	high
118147	Jenkins < 2.138.2（LTS）/2.146の複数の脆弱性	Nessus	CGI abuses	2018/10/16	2024/7/31	high
118147	Jenkins < 2.138.2 (LTS) / 2.146 多個弱點	Nessus	CGI abuses	2018/10/16	2024/7/31	high
118147	Jenkins < 2.138.2 (LTS) / 2.146 多个漏洞	Nessus	CGI abuses	2018/10/16	2024/7/31	high

偵測

搜尋 Plugin

high

high

high

high