There are packages installed that are affected by a vulnerability referenced in the following CVE:

  - Jenkins 2.587 and earlier, LTS 2.580.1 and earlier converts the launch commands in older agent
    configurations into launchers provided by the Command Agent Launcher Plugin without checking whether they
    have been approved by an administrator, allowing attackers with Agent/Configure permission to execute
    arbitrary code in the context of the Jenkins controller JVM. (CVE-2026-117614)

根據其自我報告的版本號碼，遠端 Web 伺服器上執行的 Jenkins 是 Jenkins LTS 2.580.2 之前版本或 Jenkins 每週版的 2.588 之前版本。因此，會受到多個弱點影響：

  - Jenkins 2.587 和更早版本、LTS 2.580.1 和更早版本不會逸出階層連結列溢位功能表項目工具提示中顯示的文字，導致具有整體/讀取權限的攻擊者可利用儲存的跨網站指令碼 （XSS） 弱點。（CVE-2026-117623）

  - Jenkins 2.587 及更早版本、LTS 2.580.1 及更早版本只會在建立父目錄之前 （而不是在寫入檔案之前） 檢查擷取檔案路徑中的符號連結，並允許構件中的符號連結取代現有檔案或空白目錄，允許具有項目/設定權限的攻擊者將檔案寫入 Jenkins 控制器檔案系統上的任意位置。（CVE-2026-117617）

  - Jenkins 2.587 和更早版本、LTS 2.580.1 和更早版本不會將其還原序列化篩選器套用至 XStream 還原序列化期間「resolves-to」屬性所參照的類別。（CVE-2026-117612）

  - Jenkins 2.587 及更早版本，LTS 2.580.1 及更早版本不會限制還原序列化後集合中的項目類型，因此允許有權存取 POST config.xml API 端點的攻擊者提交特製的「config.xml」檔案，這些檔案可能會導致例如儲存的跨網站指令碼 （XSS） 漏洞。
    (CVE-2026-117613)

  - Jenkins 2.587 和更早版本、LTS 2.580.1 和更早版本會將舊版代理程式組態中的啟動命令轉換為命令代理程式啟動器外掛程式提供的啟動器，而不檢查它們是否已獲得管理員核准，因此具有代理程式/設定權限的攻擊者可以在 Jenkins 控制器 JVM 的內容中執行任意程式碼。（CVE-2026-117614）

  - Jenkins 2.587 及更早版本、LTS 2.580.1 及更早版本在複製要重新命名的項目目錄時遵循符號連結，允許具有 Item/Create 和 Item/Configure 權限的攻擊者讀取 Jenkins 控制器檔案系統上的任意檔案。（CVE-2026-117615）

  - Jenkins 2.587 及更早版本，LTS 2.580.1 及更早版本提供了一個HTTP端點，可依名稱載入代理程式而不驗證名稱，允許具有「整體/讀取」權限的攻擊者將控制器檔案系統上的任何config.xml檔案載入為代理程式組態，並在儲存該代理程式時覆寫任意config.xml檔，從而可能導致任意程式碼執行。（CVE-2026-117616）

  - 在 Jenkins 2.587 和更早版本、LTS 2.580.1 和更早版本中，用於建立第一個使用者帳戶的 HTTP 端點不會檢查設定精靈是否已完成，從而導致爭用情形，允許未經驗證的攻擊者在取代初始使用者帳戶時建立管理員帳戶。（CVE-2026-117618）

  - Jenkins 2.587 和更早版本、LTS 2.580.1 和更早版本允許使用 HTTP 基本驗證 （包括使用 API 權杖） 驗證的請求取得記住我 Cookie，允許已取得使用者 API 權杖的攻擊者在 API 權杖撤銷或到期後使用記住我 Cookie 保留對 Jenkins 的存取權。（CVE-2026-117619）

  - Jenkins 2.587 及更早版本、LTS 2.580.1 及更早版本允許具有「整體/讀取」權限的攻擊者在「管理舊資料」功能中觸發警告，管理員可以據此採取行動，插入攻擊者控制的資料，覆寫現有的使用者帳戶資訊，包括登入密碼。
    (CVE-2026-117620)

  - Jenkins 2.587 及更早版本、LTS 2.580.1 和更早版本會在代理程式上計算工作區瀏覽器中每個檔案和目錄中顯示的連結 URL，導致攻擊者在控制代理程式處理程序時可利用跨網站指令碼 （XSS） 弱點。（CVE-2026-117621）

  - Jenkins 2.587 及更早版本、LTS 2.580.1 及更早版本允許代理程式將實作 Stapler HttpResponse 介面的例外狀況傳送至控制器，導致攻擊者可利用跨網站指令碼 （XSS） 弱點來控制代理程式處理程序。（CVE-2026-117622）

  - Jenkins 2.587 及更早版本、LTS 2.580.1 及更早版本並未一致地強制執行對標示為將其組態儲存為巢狀值的類型物件進行還原序列化的限制，讓攻擊者能夠繞過根元素檢查，並可能插入巢狀物件。（CVE-2026-117624）

  - 在 Jenkins 2.587 及更早版本、LTS 2.580.1 和更早版本中缺少權限檢查，允許具有「整體/讀取」權限的攻擊者取得已設定 HTTP Proxy 的伺服器、連接埠、使用者名稱和無 Proxy 主機清單。（CVE-2026-117625）

  - Jenkins 2.587 和更早版本、LTS 2.580.1 和更早版本無法正確識別嘗試在工作區 $JENKINS_HOME/userContent/和 的檔案瀏覽器中路徑遊走的檔案路徑，讓具有「整體/讀取」權限的攻擊者取得 中 $JENKINS_HOME檔案的名稱、大小和上次修改時間，而具有項目/工作區權限的攻擊者可以取得在相同代理程式上具有工作區的工作名稱。（CVE-2026-117626）

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

根据其自我报告的版本号，远程 Web 服务器上运行的 Jenkins 版本低于 Jenkins LTS 2.580.2，或低于 Jenkins weekly 2.588。因此，该应用程序受到多个漏洞的影响：

  - Jenkins 2.587 及更早版本、LTS 2.580.1 及更早版本不会对面包屑栏溢出菜单条目的工具提示中显示的文本进行转义，从而导致具有 Overall/Read 权限的攻击者可利用存储的跨站脚本 （XSS） 漏洞。（CVE-2026-117623）

  - Jenkins 2.587 及更早版本 LTS 2.580.1 及更早版本仅在创建所提取文件的父目录之前（而不是在写入文件之前）检查其路径中的符号链接，并允许构件中的符号链接替换现有文件或空目录，从而允许具有 Item/Configure 权限的攻击者向 Jenkins 控制器文件系统上的任意位置写入文件。（CVE-2026-117617）

  - Jenkins 2.587 及更早版本、LTS 2.580.1 及更早版本在 XStream 反序列化期间未将其反序列化过滤器应用至“resolves-to”属性引用的类。（CVE-2026-117612）

  - Jenkins 2.587 及更早版本、LTS 2.580.1 及更早版本在反序列化后不限制集合中的项目类型，从而允许具有 POST config.xml API 端点访问权限的攻击者提交构建的“config.xml”文件，这些文件可导致存储的跨站脚本 （XSS） 等漏洞。
    (CVE-2026-117613)

  - Jenkins 2.587 及更早版本、LTS 2.580.1 及更早版本在未检查其是否未经管理员批准的情况下，将旧版代理配置中的启动命令转换为 Command Agent Launcher 插件提供的启动器，允许具有代理/配置权限的攻击者在 Jenkins 控制器 JVM 的上下文中执行任意代码。（CVE-2026-117614）

  - Jenkins 2.587 及更早版本、LTS 2.580.1 及更早版本在复制要重命名的项目的目录时跟随符号链接，从而允许具有 Item/Create 和 Item/Configure 权限的攻击者读取 Jenkins 控制器文件系统上的任意文件。（CVE-2026-117615）

  - Jenkins 2.587 及更早版本、LTS 2.580.1 及更早版本提供了在不验证名称的情况下按名称加载代理的 HTTP 端点，允许具有 Overall/Read 权限的攻击者将任何 config.xml 文件作为代理配置加载到控制器文件系统上，并在保存该代理时覆盖该config.xml文件，从而可能导致任意代码执行。（CVE-2026-117616）

  - 在 Jenkins 2.587 及更早版本以及 LTS 2.580.1 及更早版本中，用于创建第一个用户帐户的 HTTP 端点未检查安装向导是否已完成，从而导致争用条件，允许未经认证的攻击者在替换初始用户帐户时创建管理员帐户。（CVE-2026-117618）

  - Jenkins 2.587 及更早版本以及 LTS 2.580.1 及更早版本允许使用 HTTP 基本认证（包括使用 API 标记）认证的请求获取 remember me cookie，这允许已获取用户 API 标记的攻击者在 API 标记撤消或到期后保留对 remember me cookie 的 Jenkins 访问权限。（CVE-2026-117619）

  - Jenkins 2.587 及更早版本以及 LTS 2.580.1 及更早版本允许具有整体/读取权限的攻击者在管理旧数据功能中触发警告，管理员可利用这些警告注入攻击者控制的数据，覆盖现有用户帐户信息，包括登录密码。
    (CVE-2026-117620)

  - Jenkins 2.587 及更早版本、LTS 2.580.1 及更早版本在代理上计算工作区浏览器中针对每个文件和目录显示的链接的 URL，从而导致攻击者可利用跨站脚本 （XSS） 漏洞控制代理进程。（CVE-2026-117621）

  - Jenkins 2.587 及更早版本、LTS 2.580.1 及更早版本允许代理将实现 Stapler HttpResponse 接口的异常发送到控制器，导致攻击者可利用跨站脚本 （XSS） 漏洞控制代理进程。（CVE-2026-117622）

  - Jenkins 2.587 及更早版本、LTS 2.580.1 及更早版本未始终如一地强制执行对标记为将其配置作为嵌套值存储在独立顶级配置文件中的类型的反序列化对象的限制，从而允许攻击者绕过根元素检查并可能注入嵌套对象。（CVE-2026-117624）

  - Jenkins 2.587 及更早版本、LTS 2.580.1 及更早版本中缺少权限检查，允许具有 Overall/Read 权限的攻击者获取已配置 HTTP 代理的服务器、端口、用户名和非代理主机列表。（CVE-2026-117625）

  - Jenkins 2.587 及更早版本、LTS 2.580.1 及更早版本未正确识别在工作区 $JENKINS_HOME/userContent/的文件浏览器中尝试路径遍历的文件路径，以及 ，允许具有 Overall/Read 权限的攻击者获取 和 中文件 $JENKINS_HOME的名称、大小和上次修改时间，以及具有 Item/Workspace 权限的攻击者获取在同一代理上拥有工作区的作业名称。（CVE-2026-117626）

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

自己報告されたバージョン番号によると、リモートの Web サーバーで実行されている Jenkins のバージョンは、2.580.2より前の Jenkins LTS または 2.588より前の Jenkins weekly です。そのため、以下の複数の脆弱性の影響を受けます。

  - 2.587 以前Jenkins、LTS 2.580.1 以前は、ブレッドクラムバーのオーバーフローメニューエントリのツールチップに表示されるテキストをエスケープしないため、Overall/Read 権限を持つ攻撃者により、蓄積型クロスサイトスクリプティング(XSS)の脆弱性を悪用可能です。(CVE-2026-117623)

  - 2.587 以前Jenkins、LTS 2.580.1 以前では、抽出されたファイルのパスにあるシンボリックリンクをチェックしているか、親ディレクトリを作成する前にのみチェックしますが、書き込む直前にはチェックしません。アーティファクトのシンボリックリンクが既存のファイルや空のディレクトリを置き換えることを許可しています。これにより、アイテム/構成権限のある攻撃者が、Jenkinsコントローラーファイルシステム上の任意の場所にファイルを書き込む可能性があります。(CVE-2026-117617)

  - 2.587 以前Jenkins LTS 2.580.1 以前では、XStreamの逆シリアル化中に「resolves-to」属性によって参照されるクラスに逆シリアル化フィルターを適用しません。(CVE-2026-117612)

  - 2.587 以前Jenkins、LTS 2.580.1 以前は、逆シリアル化後にコレクション内のアイテムタイプを制限しないため、POST config.xml API エンドポイントにアクセスできる攻撃者が、細工された「config.xml」ファイルを送信する可能性があり、これにより、例えば、蓄積型クロスサイトスクリプティング(XSS)の脆弱性などを引き起こす可能性があります。
    (CVE-2026-117613)

  - 2.587 以前Jenkins、LTS 2.580.1 以前では、古いエージェント構成の起動コマンドが、管理者による承認があるかどうかをチェックせずに、コマンドエージェントランチャープラグインが提供するランチャーに変換します。これにより、エージェント/構成権限を持つ攻撃者が、Jenkinsコントローラー JVM のコンテキストで任意のコードを実行する可能性があります。(CVE-2026-117614)

  - Jenkins 2.587 以前、LTS 2.580.1 以前は、名前を変更するアイテムのディレクトリをコピーする際、シンボリックリンクに従うため、Item/Create および Item/Configure 権限のある攻撃者が、Jenkins コントローラーファイルシステム上の任意のファイルを読み取る可能性があります。(CVE-2026-117615)

  - 2.587 以前Jenkins、LTS 2.580.1 以前は、名前を検証せずに名前でエージェントをロードするHTTPエンドポイントを提供し、全体的な権限/読み取り権限のある攻撃者が、コントローラーファイルシステム上の任意のconfig.xmlファイルをエージェント構成としてロードしたり、エージェントが保存されたときに任意のconfig.xmlファイルを上書きして、任意のコードを実行したりする可能性があります。(CVE-2026-117616)

  - Jenkins 2.587 以前、LTS 2.580.1 以前では、最初のユーザーアカウントを作成するためのHTTPエンドポイントがセットアップウィザードが完了したかどうかをチェックしないため、競合状態により、最初のユーザーアカウントが置き換えられている間に、認証されていない攻撃者が管理者アカウントを作成できる可能性があります。(CVE-2026-117618)

  - 2.587 以前Jenkins LTS 2.580.1 以前では、APIトークンなどHTTP Basic認証を使用して認証されたリクエストで、「remember me」Cookieを取得できるため、ユーザーのAPIトークンを取得した攻撃者が、APIトークンが取り消された後も、「remember me」Cookieを使用してJenkinsへのアクセス権を維持する可能性があります。(CVE-2026-117619)

  - 2.587 以前Jenkins、LTS 2.580.1 以前では、全体的な権限や読み取り権限のある攻撃者が、管理者が操作できる「古いデータの管理」機能で警告を発生させ、ログインパスワードを含む既存のユーザーアカウント情報を上書きして、攻撃者が制御するデータを注入する可能性があります。
    (CVE-2026-117620)

  - 2.587 以前Jenkins、LTS 2.580.1 以前では、各ファイルとディレクトリのワークスペースブラウザーに表示されるリンクのURLをエージェントで計算するため、クロスサイトスクリプティング(XSS)の脆弱性を攻撃者がエージェントプロセスを介して悪用する可能性があります。(CVE-2026-117621)

  - 2.587 以前Jenkins、LTS 2.580.1 以前では、エージェントが Stapler HttpResponse インターフェイスを実装する例外をコントローラーに送信できるため、クロスサイトスクリプティング(XSS)の脆弱性をエージェントプロセス制御において攻撃者が悪用できます。(CVE-2026-117622)

  - 2.587 以前Jenkins、LTS 2.580.1 以前は、ネスト化された値として独立したトップレベルの構成ファイルに構成を保存するとマークされているタイプのオブジェクトの逆シリアル化の制限を一貫して強制しません。これにより、攻撃者がルート要素のチェックをバイパスし、ネストされたオブジェクトを注入する可能性があります。(CVE-2026-117624)

  - 2.587 以前、LTS 2.580.1 以前の Jenkins 権限チェックの欠如により、Overall/Read 権限のある攻撃者が、構成済みの HTTP プロキシのサーバー、ポート、ユーザー名、非プロキシホストのリストを取得する可能性があります。(CVE-2026-117625)

  - 2.587 以前Jenkins、LTS 2.580.1 以前は、ワークスペースおよび $JENKINS_HOME/userContent/のファイルブラウザでパストラバーサルを試みるファイルパスを不適切に識別します。これにより、Overall/Read権限を持つ攻撃者が $JENKINS_HOME内のファイルの名前、サイズ、最終変更時刻を取得し、Item/Workspace権限を持つ攻撃者が同じエージェント上にワークスペースを持つジョブの名前を取得する可能性があります。(CVE-2026-117626)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートホストにインストールされている FreeBSD のバージョンは、テスト済みバージョンより前です。したがって、bbad76d0-3b09-485d-bb13-28cbab009cbc のアドバイザリに記載されている複数の脆弱性の影響を受けます。

    Jenkins セキュリティアドバイザリ 2026-10-28:

Tenable は、前述の記述ブロックを FreeBSD セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

The version of FreeBSD installed on the remote host is prior to tested version. It is, therefore, affected by multiple vulnerabilities as referenced in the bbad76d0-3b09-485d-bb13-28cbab009cbc advisory.

    Jenkins Security Advisory 2026-10-28:

Tenable has extracted the preceding description block directly from the FreeBSD security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

According to its its self-reported version number, the version of Jenkins running on the remote web server is Jenkins LTS prior to 2.580.2 or Jenkins weekly prior to 2.588. It is, therefore, affected by multiple vulnerabilities:

  - Jenkins 2.587 and earlier, LTS 2.580.1 and earlier does not escape the text shown in the tooltips of     breadcrumb bar overflow menu entries, resulting in a stored cross-site scripting (XSS) vulnerability     exploitable by attackers with Overall/Read permission. (CVE-2026-117623)

  - Jenkins 2.587 and earlier, LTS 2.580.1 and earlier checks for symbolic links in the path of an extracted     file only before creating its parent directories, not immediately before writing it, and allows symbolic     links in artifacts to replace existing files or empty directories, allowing attackers with Item/Configure     permission to write files to arbitrary locations on the Jenkins controller file system. (CVE-2026-117617)

  - Jenkins 2.587 and earlier, LTS 2.580.1 and earlier does not apply its deserialization filter to classes     referenced by the `resolves-to` attribute during XStream deserialization. (CVE-2026-117612)

  - Jenkins 2.587 and earlier, LTS 2.580.1 and earlier does not restrict item types in collections after     deserialization, allowing attackers with access to POST config.xml API endpoints to submit crafted     `config.xml` files that can lead to, e.g., stored cross-site scripting (XSS) vulnerabilities.
    (CVE-2026-117613)

  - Jenkins 2.587 and earlier, LTS 2.580.1 and earlier converts the launch commands in older agent     configurations into launchers provided by the Command Agent Launcher Plugin without checking whether they     have been approved by an administrator, allowing attackers with Agent/Configure permission to execute     arbitrary code in the context of the Jenkins controller JVM. (CVE-2026-117614)

  - Jenkins 2.587 and earlier, LTS 2.580.1 and earlier follows symbolic links when copying the directory of an     item being renamed, allowing attackers with Item/Create and Item/Configure permission to read arbitrary     files on the Jenkins controller file system. (CVE-2026-117615)

  - Jenkins 2.587 and earlier, LTS 2.580.1 and earlier provides an HTTP endpoint that loads agents by name     without validating the name, allowing attackers with Overall/Read permission to load any config.xml file     on the controller file system as an agent configuration, and to overwrite an arbitrary config.xml file     when that agent is saved, potentially resulting in arbitrary code execution. (CVE-2026-117616)

  - In Jenkins 2.587 and earlier, LTS 2.580.1 and earlier, the HTTP endpoint for creating the first user     account does not check whether the setup wizard has been completed, resulting in a race condition that     allows unauthenticated attackers to create an administrator account while the initial user account is     being replaced. (CVE-2026-117618)

  - Jenkins 2.587 and earlier, LTS 2.580.1 and earlier allows requests authenticated using HTTP Basic     authentication, including with an API token, to obtain a remember me cookie, allowing attackers who have     obtained a user's API token to retain access to Jenkins using a remember me cookie after the API token     is revoked or expires. (CVE-2026-117619)

  - Jenkins 2.587 and earlier, LTS 2.580.1 and earlier allows attackers with Overall/Read permission to     trigger warnings in the Manage Old Data feature that can be acted on by administrators to inject     attacker-controlled data, overriding existing user account information, including login passwords.
    (CVE-2026-117620)

  - Jenkins 2.587 and earlier, LTS 2.580.1 and earlier computes on the agent the URL of the link shown in the     workspace browser for each file and directory, resulting in a cross-site scripting (XSS) vulnerability     exploitable by attackers in control of agent processes. (CVE-2026-117621)

  - Jenkins 2.587 and earlier, LTS 2.580.1 and earlier allows agents to send exceptions implementing the     Stapler HttpResponse interface to the controller, resulting in a cross-site scripting (XSS) vulnerability     exploitable by attackers in control of agent processes. (CVE-2026-117622)

  - Jenkins 2.587 and earlier, LTS 2.580.1 and earlier does not consistently enforce the restriction on     deserializing objects of types marked as storing their configuration in independent top-level     configuration files as nested values, allowing attackers to bypass the root element check and potentially     inject nested objects. (CVE-2026-117624)

  - A missing permission check in Jenkins 2.587 and earlier, LTS 2.580.1 and earlier allows attackers with     Overall/Read permission to obtain the server, port, user name, and no-proxy host list of the configured     HTTP proxy. (CVE-2026-117625)

  - Jenkins 2.587 and earlier, LTS 2.580.1 and earlier improperly identifies file paths attempting path     traversal in the file browser for workspaces and $JENKINS_HOME/userContent/, allowing attackers with     Overall/Read permission to obtain the names, sizes, and last modification times of files in the     $JENKINS_HOME, and attackers with Item/Workspace permission to obtain the names of jobs that have a     workspace on the same agent. (CVE-2026-117626)

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

ID	Name	Product	Family	Published	Updated	Severity
478324	Chainguard: jenkins-2.580: security update to 2.580.2-r0	Tenable Cloud Security	Chainguard Local Security Checks	11/4/2026	11/7/2026	high
478324	Chainguard: jenkins-2.580: security update to 2.580.2-r0	Tenable Self-Hosted Container Security	Chainguard Local Security Checks	11/4/2026	11/7/2026	high
373229	Jenkins LTS < 2.580.2/Jenkins 每週版 < 2.588 多個弱點	Nessus	CGI abuses	10/28/2026	11/3/2026	high
373229	Jenkins LTS < 2.580.2 / Jenkins weekly < 2.588 多个漏洞	Nessus	CGI abuses	10/28/2026	11/3/2026	high
373229	Jenkins LTS < 2.580.2 / Jenkins weekly < 2.588 の複数の脆弱性	Nessus	CGI abuses	10/28/2026	11/3/2026	high
373480	FreeBSD : jenkins -- 複数の脆弱性 (bbad76d0-3b09-485d-bb13-28cbab009cbc)	Nessus	FreeBSD Local Security Checks	10/29/2026	11/3/2026	high
373480	FreeBSD : jenkins -- multiple vulnerabilities (bbad76d0-3b09-485d-bb13-28cbab009cbc)	Nessus	FreeBSD Local Security Checks	10/29/2026	11/3/2026	high
373229	Jenkins LTS < 2.580.2 / Jenkins weekly < 2.588 Multiple Vulnerabilities	Nessus	CGI abuses	10/28/2026	11/3/2026	high

Detections

Analytics

Plugins Search

high

high

high

high

high

high

high

high