There are packages installed that are affected by a vulnerability referenced in the following CVE:

  - An incorrect permission check in Jenkins GitLab Plugin 1.9.6 and earlier allows attackers with global
    Item/Configure permission (while lacking Item/Configure permission on any particular job) to enumerate
    credential IDs of GitLab API token and Secret text credentials stored in Jenkins. (CVE-2025-24397)

根據其自我報告的版本號碼，遠端 Web 伺服器上執行的 Jenkins plugin 版本受到多個弱點影響：

  - Jenkins OpenId Connect Authentication Plugin 4.452.v2849b_d3945fa_ 和更舊版本 (4.438.440.v3f5f201de5dc 除外) 將使用者名稱視為不區分大小寫，進而允許 Jenkins 執行個體上設定了區分大小寫之 OpenID Connect 提供者的攻擊者，可藉由提供僅在字母大小寫上有所不同的使用者名稱，即可以任何使用者的身分登入，進而有可能取得 Jenkins 的系統管理員存取權。(CVE-2025-24399)

  - Jenkins Eiffel Broadcaster Plugin 2.8.0 至 2.10.2 (包含兩者) 在簽署作業期間使用認證 ID 作為快取金鑰，進而允許攻擊者能夠在不同的認證儲存區中建立與合法 ID 相同 ID 的認證，以便簽署使用合法認證發布至 RabbitMQ 的事件。(CVE-2025-24400)

  - Jenkins Folder-based Authorization Strategy Plugin 217.vd5b_18537403e 及更舊版本未驗證設定為已授予的權限是否已啟用，這可能允許之前被授予權限 (通常是選用的權限，例如 Overall/Manage) 的使用者存取其不再擁有權限的功能。
    (CVE-2025-24401)

  - Jenkins Azure Service Fabric Plugin 1.6 及更舊版本中存在跨網站要求偽造 (CSRF) 弱點，攻擊者可藉此使用其透過其他方法取得的攻擊者指定的憑證 ID 連接至 Service Fabric URL。(CVE-2025-24402)

  - 在 1.6 版之前的 Zoom Jenkins bot plugin 中，敏感資訊的純文字儲存可允許經驗證的使用者透過網路存取洩漏資訊。使用者可以更新至 https://plugins.jenkins.io/zoom/releases/ 最新的版本。(CVE-2025-0142)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

根据其自我报告的版本号，远程 Web 服务器上运行的相应版本的 Jenkins 插件受到多种漏洞的影响：

  - Jenkins OpenId Connect 身份验证插件 4.452.v2849b_d3945fa_ 和更早版本（4.438.440.v3f5f201de5dc 除外）的用户名不区分大小写，借此漏洞，攻击者可在配置了区分大小写的 OpenID Connect 提供程序的 Jenkins 实例上以任意用户的身份登录，只需提供一个仅在字母大小写上有所区别的用户名，即有可能获得对 Jenkins 的管理员访问权限。(CVE-2025-24399)

  - Jenkins Eiffel Broadcaster 插件 2.8.0 到 2.10.2（两者均含）在签名操作期间使用凭据 ID 作为缓存密钥，从而允许攻击者在不同的凭证存储中创建与合法凭据 ID 相同的凭据，以使用合法凭据签署发布到 RabbitMQ 的事件。(CVE-2025-24400)

  - Jenkins Folder-based Authorization Strategy 插件 217.vd5b_18537403e 及之前版本未验证是否启用配置为已授予的权限，这可能允许之前获得授权（通常是可选权限，如“全局”/“管理”）的用户访问他们不再有权使用的功能。
    (CVE-2025-24401)

  - Jenkins Azure Service Fabric 插件 1.6 及更早版本中存在跨站请求伪造 (CSRF) 漏洞，该漏洞允许攻击者使用其通过其他方法获取的攻击者指定的凭据 ID 连接到 Service Fabric 网址。(CVE-2025-24402)

  - 低于 1.6 版本的 Zoom Jenkins Bot 插件中以明文形式存储敏感信息可能会允许经过身份验证的用户通过网络访问造成信息泄露。用户可以前往 https://plugins.jenkins.io/zoom/releases/ 更新到最新版本。(CVE-2025-0142)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

自己報告によるバージョン番号によると、リモートウェブサーバー上で実行されているバージョンの Jenkins プラグインは、次の複数の脆弱性の影響を受けます。

  - Jenkins OpenId Connect 認証プラグイン 4.452.v2849b_d3945fa_ およびそれ以前 (4.438.440.v3f5f201de5dc を除く) では、ユーザー名の大文字と小文字が区別されないため、大文字と小文字を区別する OpenID Connect プロバイダーで設定された Jenkins インスタンス上の攻撃者は、大文字と小文字のみが異なるユーザー名を指定して任意のユーザーとしてログインし、Jenkins への管理者アクセス権を取得できる可能性があります。(CVE-2025-24399)

  - Jenkins Eiffel Broadcaster プラグイン 2.8.0 から 2.10.2 (両方を含む) は、署名操作中に認証情報 ID をキャッシュキーとして使用するため、攻撃者は別の認証情報ストアで正当な認証情報と同じ ID を持つ認証情報を作成し、正当な認証情報を使用して RabbitMQ に公開されたイベントに署名できる可能性があります。(CVE-2025-24400)

  - Jenkins フォルダーベースの承認戦略プラグイン 217.vd5b_18537403e およびそれ以前のバージョンでは、付与するように設定された権限が有効になっているかどうかが検証されないため、以前に付与されたユーザー (通常は全体/管理などのオプションの権限) が、権限がなくなった機能にアクセスできる可能性があります。
    (CVE-2025-24401)

  - Jenkins Azure Service Fabric プラグイン 1.6 およびそれ以前のバージョンにおけるクロスサイトリクエスト偽造 (CSRF) の脆弱性により、攻撃者は別の方法で取得した攻撃者が指定した資格情報 ID を使用して Service Fabric URL に接続できる可能性があります。(CVE-2025-24402)

  - バージョン 1.6 より前の Zoom Jenkins ボットプラグインにおける機密情報の平文ストレージにより、認証されたユーザーが、ネットワークアクセスを介して情報漏洩を実行する可能性があります。ユーザーは https://plugins.jenkins.io/zoom/releases/ で最新バージョンにアップデートできます。(CVE-2025-0142)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

According to their self-reported version numbers, the version of Jenkins plugins running on the remote web server are affected by multiple vulnerabilities:

  - Jenkins OpenId Connect Authentication Plugin 4.452.v2849b_d3945fa_ and earlier, except     4.438.440.v3f5f201de5dc, treats usernames as case-insensitive, allowing attackers on Jenkins instances     configured with a case-sensitive OpenID Connect provider to log in as any user by providing a username     that differs only in letter case, potentially gaining administrator access to Jenkins. (CVE-2025-24399)

  - Jenkins Eiffel Broadcaster Plugin 2.8.0 through 2.10.2 (both inclusive) uses the credential ID as the     cache key during signing operations, allowing attackers able to create a credential with the same ID as a     legitimate one in a different credentials store to sign an event published to RabbitMQ with the legitimate     credentials. (CVE-2025-24400)

  - Jenkins Folder-based Authorization Strategy Plugin 217.vd5b_18537403e and earlier does not verify that     permissions configured to be granted are enabled, potentially allowing users formerly granted (typically     optional permissions, like Overall/Manage) to access functionality they're no longer entitled to.
    (CVE-2025-24401)

  - A cross-site request forgery (CSRF) vulnerability in Jenkins Azure Service Fabric Plugin 1.6 and earlier     allows attackers to connect to a Service Fabric URL using attacker-specified credentials IDs obtained     through another method. (CVE-2025-24402)

  - Cleartext storage of sensitive information in the Zoom Jenkins bot plugin before version 1.6 may allow an     authenticated user to conduct a disclosure of information via network access. Users can update to the     latest version at https://plugins.jenkins.io/zoom/releases/. (CVE-2025-0142)

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

ID	Name	Product	Family	Published	Updated	Severity
414273	SCA: security update for org.jenkins-ci.plugins:gitlab-plugin (GHSA-xhgq-h98j-859v)	Tenable Cloud Security	SCA Checks	1/23/2025	7/2/2026	medium
414273	SCA: security update for org.jenkins-ci.plugins:gitlab-plugin (GHSA-xhgq-h98j-859v)	Tenable Self-Hosted Container Security	SCA Checks	1/23/2025	7/2/2026	medium
214537	Jenkins plugin 多個弱點 (2025 年 1 月 22 日)	Nessus	CGI abuses	1/23/2025	3/24/2025	high
214537	Jenkins 插件多个漏洞（2025 年 1 月 22 日）	Nessus	CGI abuses	1/23/2025	3/24/2025	high
214537	Jenkins プラグインの複数の脆弱性 (2025 年 1 月 22 日)	Nessus	CGI abuses	1/23/2025	3/24/2025	high
214537	Jenkins plugins Multiple Vulnerabilities (2025-01-22)	Nessus	CGI abuses	1/23/2025	3/24/2025	high

Detections

Analytics

Plugins Search

medium

medium

high

high

high

high