There are packages installed that are affected by a vulnerability referenced in the following CVE:

  - Missing permission checks in Jenkins Cadence vManager Plugin 4.0.1-286.v9e25a_740b_a_48 and earlier allows
    attackers with Overall/Read permission to connect to an attacker-specified URL using attacker-specified
    username and password. (CVE-2025-47887)

根據其自我報告的版本號碼，遠端 Web 伺服器上執行的 Jenkins plugin 版本受到多個弱點影響：

  - 重大 在 WSO2 Oauth Plugin 1.0 和更舊版本中，未經 WSO2 Oauth 安全性領域驗證即接受驗證宣告。未經驗證的攻擊者可藉以透過任何使用者名稱和任何密碼 (包括不存在的使用者名稱) 登入使用此安全性領域的控制器。以此方式建立的工作階段沒有任何其他授權單位，即群組中的成員資格。甚至連經驗證的群組成員資格都不存在。以此方式成功建立工作階段的影響取決於授權策略及其設定方式。常用的授權策略如下所述: 授權策略「登入的使用者可執行任何操作」，以此方式登入的使用者為非匿名使用者，並被授予「全面」/「管理」權限。Role-based Authorization Strategy Plugin 提供的授權策略「角色型策略」會授予攻擊者直接指派給指定使用者的權限 (或同時適用於使用者和群組的不明確權限)，而不會向攻擊者授予透過群組授予的權限。Matrix Authorization Strategy Plugin 提供的授權策略「基於矩陣的安全性」和「基於專案的矩陣授權策略」會授予直接指派給指定使用者的權限 (或同時適用於使用者和群組的不明確權限，通常存在於 plugin 3.0 之前的版本中)，而不會向攻擊者授予透過群組授予的權限。截至本公告發布時，尚無修正。瞭解我們為何宣佈此問題。(CVE-2025-47889)

  - 重大 在 OpenID Connect Provider Plugin 中，宣告範本可針對工作使用環境變數，並針對動態內容使用版本。版本 ID 權杖的預設宣告範本針對 sub (Subject，主旨) 宣告使用 JOB_URL 環境變數。在 OpenID Connect Provider Plugin 96.vee8ed882ec4d 和更舊版本中，版本 ID 權杖的產生可能會使用被覆寫的環境變數值。安裝允許覆寫任意環境變數的其他特定外掛程式 (例如 Environment Injector Plugin) 時，攻擊者能夠設定工作來特製版本 ID 權杖，模擬受信任的工作，進而可能取得外部服務的未經授權存取權。在 OpenID Connect Provider Plugin 111.v29fd614b_3617 中，如果版本 ID 權杖的產生已遭覆寫，則會忽略環境變數。(CVE-2025-47884)

  - 高 - CloudBees Plugin 提供的 Health Advisor 374.v194b_d4f0c8c8 及更舊版本未逸出來自 Jenkins Health Advisor 伺服器的回應。這會導致儲存型跨網站指令碼 (XSS) 弱點，能夠控制 Jenkins Health Advisor 伺服器回應的攻擊者可利用此弱點。CloudBees Plugin 提供的 Health Advisor 374.376.v3a_41a_a_142efe 及更舊版本逸出來自 Jenkins Health Advisor 伺服器的回應。
    (CVE-2025-47885)

  - 中 Medium Cadence vManager Plugin 4.0.1-286.v9e25a_740b_a_48 和更舊版本不會在實作表單驗證的方法中執行權限檢查。這會讓具有 Overall/Read 權限的攻擊者使用攻擊者指定的使用者名稱和密碼，連線至攻擊者指定的 URL。此外，這些表單驗證方法不需要 POST 要求，進而導致跨網站要求偽造 (CSRF) 弱點。Cadence vManager Plugin 4.0.1-288.v8804b_ea_a_cb_7f 需要 POST 要求和受影響表單驗證方法的項目/設定權限。(CVE-2025-47886、 CVE-2025-47887)

  - 中等 - DingTalk Plugin 2.7.3 和更舊版本會針對連線至已設定的 DingTalk webhooks，無條件停用 SSL/TLS 憑證和主機名稱驗證。截至本公告發布時，尚無修正。瞭解我們為何宣佈此問題。(CVE-2025-47888)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

根据其自我报告的版本号，远程 Web 服务器上运行的相应版本的 Jenkins 插件受到多种漏洞的影响：

  - 危急。在 WSO2 Oauth 插件 1.0 及更早版本中，WSO2 Oauth 安全领域会接受身份验证声明而不进行验证。这允许未经身份验证的攻击者使用任何用户名和密码（包括不存在的用户名）登录到使用此安全领域的控制器。以此方式创建的会话没有任何其他颁发机构，即组中的成员身份，甚至连经过认证的组成员身份也不存在。以这种方式成功创建会话的影响取决于授权策略及其配置方式。常用授权策略如下所述运行： 授权策略“已登录用户可执行任何操作”确定以此方式登录的用户不是匿名用户，并且会被授予“全局/管理员”权限。Role-based Authorization Strategy Plugin 提供的授权策略 Role-based 策略会将直接分配给指定用户的权限授予攻击者（或适用于用户和群组的模糊权限）。应通过群组授予的权限将不会被授予。Matrix Authorization Strategy Plugin 提供的两种授权策略（基于矩阵的安全策略和基于项目的矩阵授权策略）会授予直接分配给指定用户的权限（或同时适用于用户和组的模糊权限，这类权限通常存在于插件 3.0 版本之前）。应通过群组授予的权限将不会被授予。在发布此公告时，尚无修复方法。了解我们为何宣布此问题。(CVE-2025-47889)

  - 危急。在 OpenID Connect Provider Plugin 中，声明模板可使用环境变量来生成适用于动态内容的作业和版本。版本 ID 令牌的默认声明模板针对子（项目）声明使用 JOB_URL 环境变量。在 OpenID Connect Provider Plugin 96.vee8ed882ec4d 及更早版本中，版本 ID 令牌的生成可能使用环境变量的替代值。安装了允许替代任意环境变量的某些其他插件时（例如 Environment Injector 插件），这允许攻击者配置作业以构建假冒受信任作业的版本 ID 令牌，从而可能获取对外部服务的未经授权的访问权限。在 OpenID Connect 提供程序插件 111.v29fd614b_3617 中，如果环境变量已被覆盖，则版本 ID 令牌的生成会忽略。(CVE-2025-47884)

  - 高危。CloudBees Plugin 374.v194b_d4f0c8c8 的 Health Advisor 和更早版本没有转义来自 Jenkins Health Advisor 服务器的响应。这会导致攻击者可以利用存储型跨站脚本 (XSS) 漏洞，从而控制 Jenkins Health Advisor 服务器响应。CloudBees Plugin 374.376.v3a_41a_a_142efe 的 Health Advisor 和更早版本没有转义来自 Jenkins Health Advisor 服务器的响应。
    (CVE-2025-47885)

  - 中危。Cadence vManager 插件 4.0.1-286.v9e25a_740b_a_48 及更早版本不在实施表单验证的方法中执行权限检查。这将允许具有全局/读取权限的攻击者使用攻击者指定的用户名和密码连接到攻击者指定的 URL。此外，这些表单验证方法不需要 POST 请求，从而导致跨站请求伪造 (CSRF) 漏洞。Cadence vManager 插件 4.0.1-288.v8804b_ea_a_cb_7f 需要受影响的表单验证方法具有 POST 请求和 Item/Configure 权限。（CVE-2025-47886、CVE-2025-47887）

  - 中危。DingTalk Plugin 2.7.3 及更早版本对到已配置的 DingTalk webhook 的连接无条件禁用 SSL/TLS 证书和主机名验证。在发布此公告时，尚无修复方法。了解我们为何宣布此问题。(CVE-2025-47888)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

自己報告によるバージョン番号によると、リモートウェブサーバー上で実行されているバージョンの Jenkins プラグインは、次の複数の脆弱性の影響を受けます。

  - 重大: WSO2 Oauth プラグイン 1.0 およびそれ以前の認証要求は、WSO2 Oauth セキュリティレルムによる検証なしで受け入れられます。これにより、認証されていない攻撃者が、任意のユーザー名と任意のパスワード (存在しないユーザー名を含む) を使用して、このセキュリティレルムでコントローラーにログインする可能性があります。この方法で作成されたセッションには、追加権限、つまり、グループのメンバーシップはありません。認証されたグループのメンバーシップも欠落しています。この方法でセッションを正常に作成した場合の影響は、承認戦略とその設定方法によって異なります。一般的に使用される承認戦略は、以下で説明するように動作します。「ログインしたユーザーは何でもできる」という承認戦略では、この方法でログインしたユーザーは匿名ユーザーではないと判断され、全体/管理アクセス許可が付与されます。ロールベースの承認戦略プラグインによって提供される承認戦略ロールベースの戦略は、指定されたユーザーに直接割り当てられたアクセス許可 (またはユーザーとグループの両方に適用可能なあいまいなアクセス許可) を攻撃者に付与します。グループを通じて付与されるアクセス許可が付与されない可能性があります。マトリックス承認戦略プラグインによって提供される承認戦略マトリックスベースのセキュリティとプロジェクトベースのマトリックス承認戦略は、指定されたユーザーに直接割り当てられた権限 (または、通常はプラグインのバージョン 3.0 より前の、ユーザーとグループの両方に適用可能なあいまいな権限) を付与します。グループを通じて付与されるアクセス許可が付与されない可能性があります。このアドバイザリの公開時点では、修正はありません。弊社がこれを発表する理由をご覧ください。(CVE-2025-47889)

  - 重大: OpenID Connect プロバイダープラグインでは、クレームテンプレートでジョブおよびビルドの環境変数を使用して動的コンテンツを処理できます。ビルド ID トークンのデフォルトのクレームテンプレートでは、sub (Subject) クレームに JOB_URL 環境変数が使用されます。OpenID Connect Provider Plugin 96.vee8ed882ec4d 以前では、ビルド ID トークンの生成で、環境変数の潜在的にオーバーライドされた値が使用されます。任意の環境変数のオーバーライドを許可するその他の特定のプラグイン (例: Environment Injector Plugin) がインストールされている場合、これにより、ジョブを設定できる攻撃者が、信頼できるジョブになりすましたビルド ID トークンを作成し、外部サービスへの認証されないアクセスを取得する可能性があります。OpenID Connect Provider Plugin 111.v29fd614b_3617 では、ビルド ID トークンの生成時に、環境変数がオーバーライドされている場合はその環境変数が無視されます。(CVE-2025-47884)

  - CloudBees の High Health Advisor Plugin 374.v194b_d4f0c8c8 以前では、Jenkins Health Advisor サーバーからの応答をエスケープしません。これにより、Jenkins Health Advisor サーバーの応答を制御できる攻撃者が悪用可能な格納型クロスサイトスクリプティング (XSS) の脆弱性が発生します。CloudBees の Health Advisor Plugin 374.376.v3a_41a_a_142efe では、Jenkins Health Advisor サーバーからの応答をエスケープします。
    (CVE-2025-47885)

  - 重要度中: Cadence vManager Plugin 4.0.1-286.v9e25a_740b_a_48 以前では、フォーム検証を実装するメソッドでアクセス許可チェックを実行しません。これにより、Overall / Read アクセス許可を持つ攻撃者が、攻撃者が指定したユーザー名とパスワードを使用して、攻撃者が指定した URL に接続する可能性があります。さらに、これらのフォーム検証メソッドは POST リクエストを必要としないため、クロスサイトリクエスト偽造 (CSRF) の脆弱性が発生します。Cadence vManager Plugin 4.0.1-288.v8804b_ea_a_cb_7f には、影響を受けるフォーム検証方法に対する POST リクエストと Item/Configure アクセス許可が必要です。(CVE-2025-47886、CVE-2025-47887)

  - 重要度中: DingTalk Plugin 2.7.3 およびそれ以前は、設定された DingTalk webhooks への接続に対して、SSL/TLS 証明書およびホスト名の検証を無条件に無効にします。このアドバイザリの公開時点では、修正はありません。弊社がこれを発表する理由をご覧ください。(CVE-2025-47888)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

According to their self-reported version numbers, the version of Jenkins plugins running on the remote web server are affected by multiple vulnerabilities:

  - Critical In WSO2 Oauth Plugin 1.0 and earlier authentication claims are accepted without validation by the     WSO2 Oauth security realm. This allows unauthenticated attackers to log in to controllers using this     security realm using any username and any password, including usernames that do not exist. Sessions     created this way do not have any additional authorities, i.e., memberships in groups. Even the     authenticated group membership is absent. The impact of successfully creating a session this way depends     on the authorization strategy and how it is configured. Commonly used authorization strategies behave as     described below: The authorization strategy Logged-in users can do anything determines that users who     logged in this way are not the anonymous user, and are granted Overall/Administer permission. The     authorization strategy Role-based strategy provided by Role-based Authorization Strategy Plugin grants     attackers permissions assigned directly to the specified user (or ambiguous permissions applicable to both     users and groups). Permissions that would be granted through groups would not be granted. The     authorization strategies Matrix-based security and Project-based Matrix Authorization Strategy     provided by Matrix Authorization Strategy Plugin grant permissions assigned directly to the specified user     (or ambiguous permissions applicable to both users and groups, typically predating version 3.0 of the     plugin). Permissions that would be granted through groups would not be granted. As of publication of this     advisory, there is no fix. Learn why we announce this. (CVE-2025-47889)

  - Critical In OpenID Connect Provider Plugin, claim templates can use environment variables for jobs and     builds for dynamic content. The default claim template for build ID tokens uses the JOB_URL environment     variable for the sub (Subject) claim. In OpenID Connect Provider Plugin 96.vee8ed882ec4d and earlier the     generation of build ID Tokens uses potentially overridden values of environment variables. When certain     other plugins are installed which allow arbitrary environment variables to be overridden (e.g.,     Environment Injector Plugin), this allows attackers able to configure jobs to craft a build ID Token that     impersonates a trusted job, potentially gaining unauthorized access to external services. In OpenID     Connect Provider Plugin 111.v29fd614b_3617 the generation of build ID Tokens ignores environment variables     if they have been overridden. (CVE-2025-47884)

  - High Health Advisor by CloudBees Plugin 374.v194b_d4f0c8c8 and earlier does not escape responses from the     Jenkins Health Advisor server. This results in a stored cross-site scripting (XSS) vulnerability     exploitable by attackers able to control Jenkins Health Advisor server responses. Health Advisor by     CloudBees Plugin 374.376.v3a_41a_a_142efe escapes responses from the Jenkins Health Advisor server.
    (CVE-2025-47885)

  - Medium Cadence vManager Plugin 4.0.1-286.v9e25a_740b_a_48 and earlier does not perform permission checks     in methods implementing form validation. This allows attackers with Overall/Read permission to connect to     an attacker-specified URL using attacker-specified username and password. Additionally, these form     validation methods do not require POST requests, resulting in a cross-site request forgery (CSRF)     vulnerability. Cadence vManager Plugin 4.0.1-288.v8804b_ea_a_cb_7f requires POST requests and     Item/Configure permission for the affected form validation method. (CVE-2025-47886, CVE-2025-47887)

  - Medium DingTalk Plugin 2.7.3 and earlier unconditionally disables SSL/TLS certificate and hostname     validation for connections to the configured DingTalk webhooks. As of publication of this advisory, there     is no fix. Learn why we announce this. (CVE-2025-47888)

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

ID	Name	Product	Family	Published	Updated	Severity
434292	SCA: security update for org.jenkins-ci.plugins:vmanager-plugin (GHSA-rf73-97j8-9vqh)	Tenable Cloud Security	SCA Checks	8/19/2025	7/2/2026	medium
434292	SCA: security update for org.jenkins-ci.plugins:vmanager-plugin (GHSA-rf73-97j8-9vqh)	Tenable Self-Hosted Container Security	SCA Checks	8/19/2025	7/2/2026	medium
236410	Jenkins Plugin 多個弱點 (2025-05-14)	Nessus	CGI abuses	5/14/2025	5/14/2025	critical
236410	Jenkins 插件多个漏洞（2025 年 5 月 14 日）	Nessus	CGI abuses	5/14/2025	5/14/2025	critical
236410	Jenkins プラグインの複数の脆弱性 (2025 年 5 月 14 日)	Nessus	CGI abuses	5/14/2025	5/14/2025	critical
236410	Jenkins plugins Multiple Vulnerabilities (2025-05-14)	Nessus	CGI abuses	5/14/2025	5/14/2025	critical

Detections

Analytics

Plugins Search

medium

medium

critical

critical

critical

critical