根據其自我報告的版本號碼，遠端 Web 伺服器上執行的 Jenkins plugin 版本受到多個弱點影響：

  - 透過 REST API 或 CLI 存取項目 `config.xml` 時，Jenkins 認證 Plugin 1380.va_435002fa_924 和更舊版本 (1371.1373.v4eb_fa_b_7161e9 除外) 不會修訂使用 `SecretBytes` 類型的認證加密值。(CVE-2024-47805)

  - Jenkins OpenId Connect 驗證 Plugin 4.354.v321ce67a_1de8 和更舊版本並未檢查 ID Token 的 `aud` (Audience) 宣告，使得攻擊者能夠破壞驗證流程，並且可能進而取得 Jenkins 的系統管理員存取權。(CVE-2024-47806)

  - Jenkins OpenId Connect 驗證 Plugin 4.354.v321ce67a_1de8 和更舊版本並未檢查 ID Token 的 `iss` (Issuer) 宣告，使得攻擊者能夠破壞驗證流程，並且可能進而取得 Jenkins 的系統管理員存取權。(CVE-2024-47807)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

偵測

Jenkins plugin 多個弱點 (2024-10-02)

high Nessus Plugin ID 208097

版本 1.2