自己報告によるバージョン番号によると、リモートウェブサーバー上で実行されているバージョンの Jenkins プラグインは、次の複数の脆弱性の影響を受けます。

  - Jenkins Applitools Eyes プラグイン 1.16.5 以前は、暗号化されていない Applitools API キーを Jenkins コントローラー上のジョブ config.xml ファイルに保存するため、Jenkins コントローラーファイルシステムへの Item/Extended 読み取り権限またはアクセス権を持っているユーザーが表示する可能性があります。(CVE-2025-53742)

  - Jenkins Applitools Eyes プラグイン 1.16.5 以前は、ビルドページの Applitools URL をエスケープしません。そのため、蓄積型クロスサイトスクリプティング (XSS) の脆弱性があり、Item/Configure アクセス許可を持つ攻撃者がこれを悪用する可能性があります。(CVE-2025-53658)

  - Jenkins Credentials Binding プラグイン 687.v619cb_15e923f 以前では、ビルドログに書き込まれる例外エラーメッセージに存在する認証情報を適切にマスクしません (つまり、アスタリスクで置き換えません)。
    (CVE-2025-53650)

  - Jenkins HTML Publisher プラグイン 425 以前では、Publish HTML レポートのビルド後の手順中にアーカイブされたファイルの絶対パスを含むログメッセージが表示され、ビルドログの Jenkins コントローラーファイルシステムに関する情報が漏洩する可能性があります。(CVE-2025-53651)

  - Jenkins Git Parameter プラグイン 439.vb_0e46ca_14534 以前は、ビルドに送信される Git パラメーター値が提供される選択肢の 1 つと一致することを検証しません。これにより、Item/Build 権限を持つ攻撃者が任意の値を Git パラメーターに注入する可能性があります。(CVE-2025-53652)

  - Jenkins Aqua Security Scanner プラグイン 3.2.8 以前では、暗号化されていない Scanner Tokens for Aqua API を Jenkins コントローラー上のジョブ config.xml ファイルに保存するため、Jenkins コントローラーファイルシステムへの Item/Extended 読み取り権限またはアクセス権を持っているユーザーが表示する可能性があります。(CVE-2025-53653)

  - Jenkins Statistics Gatherer プラグイン 2.0.3 以前では、AWS 秘密鍵は暗号化されていない状態で Jenkins コントローラーのグローバル設定ファイルに保存され、Jenkins コントローラーファイルシステムへのアクセス権を持つユーザーが表示できます。(CVE-2025-53654)

  - Jenkins Statistics Gatherer プラグイン 2.0.3 以前は、グローバル設定フォームの AWS 秘密鍵をマスクしないため、攻撃者がこれを観察およびキャプチャする可能性が高くなります。(CVE-2025-53655)

  - Jenkins ReadyAPI Functional Testing プラグイン 1.11 以前では、SLM ライセンスアクセスキー、クライアントの秘密、およびパスワードは暗号化されていない状態で Jenkins コントローラーのジョブの config.xml ファイルに保存されているため、Jenkins コントローラーファイルシステムへの Item/Extended 読み取り権限またはアクセス権を持つユーザーが表示できます。
    (CVE-2025-53656)

  - Jenkins ReadyAPI Functional Testing プラグイン 1.11 以前では、ジョブ設定フォームに表示される SLM ライセンスアクセスキー、クライアントの秘密、およびパスワードをマスクしないため、攻撃者がそれらを観察およびキャプチャする可能性が高くなります。(CVE-2025-53657)

  - Jenkins Applitools Eyes プラグイン 1.16.5 以前では、ジョブ設定フォームに表示される Applitools API キーがマスクされないため、攻撃者がそれらを観察して取得する可能性が高くなります。(CVE-2025-53743)

  - Jenkins QMetry Test Management プラグイン 1.13 以前は、暗号化されていない Qmetry Automation API キーを Jenkins コントローラー上のジョブ config.xml ファイルに保存するため、Jenkins コントローラーファイルシステムへの Item/Extended 読み取り権限またはアクセス権を持っているユーザーが表示する可能性があります。(CVE-2025-53659)

  - Jenkins QMetry Test Management プラグイン 1.13 以前では、ジョブ設定フォームに表示される Qmetry Automation API キーがマスクされないため、攻撃者がそれらを観察して取得する可能性が高くなります。
    (CVE-2025-53660)

  - Jenkins Testsigma Test Plan run プラグイン 1.6 以前では、ジョブ設定フォームに表示される Testsigma API キーがマスクされないため、攻撃者がそれらを観察して取得する可能性が高くなります。
    (CVE-2025-53661)

  - Jenkins IFTTT Build Notifier プラグイン 1.2 以前は、暗号化されていない IFTTT Maker Channel キーを Jenkins コントローラー上のジョブ config.xml ファイルに保存するため、Jenkins コントローラーファイルシステムへの Item/Extended 読み取り権限またはアクセス権を持っているユーザーが表示する可能性があります。(CVE-2025-53662)

  - Jenkins IBM Cloud DevOps プラグイン 2.0.16 以前では、暗号化されていない SonarQube 認証トークンを Jenkins コントローラー上のジョブ config.xml ファイルに保存するため、Jenkins コントローラーファイルシステムへの Item/Extended 読み取り権限またはアクセス権を持っているユーザーが表示する可能性があります。(CVE-2025-53663)

  - Jenkins Apica Loadtest プラグイン 1.10 以前では、暗号化されていない Apica Loadtest LTP 認証トークンを Jenkins コントローラー上のジョブ config.xml ファイルに保存するため、Jenkins コントローラーファイルシステムへの Item/Extended 読み取り権限またはアクセス権を持っているユーザーが表示する可能性があります。(CVE-2025-53664)

  - Jenkins Apica Loadtest プラグイン 1.10 以前では、ジョブ設定フォームに表示される Apica Loadtest LTP 認証トークンをマスクしないため、攻撃者がこれを観察およびキャプチャする可能性が高くなります。(CVE-2025-53665)

  - Jenkins Dead Man's Snitch プラグイン 0.1 以前では、暗号化されていない Dead Man's Snitch トークンを Jenkins コントローラー上のジョブ config.xml ファイルに保存するため、Jenkins コントローラーファイルシステムへの Item/Extended 読み取り権限またはアクセス権を持っているユーザーが表示する可能性があります。(CVE-2025-53666)

  - Jenkins Dead Man's Snitch プラグイン 0.1 以前では、ジョブ設定フォームに表示される Dead Man's Snitch トークンをマスクしないため、攻撃者がこれを観察およびキャプチャする可能性が高くなります。(CVE-2025-53667)

  - Jenkins VAddy プラグイン 1.2.8 以前は、暗号化されていない Vaddy API Auth キーを Jenkins コントローラー上のジョブ config.xml ファイルに保存するため、Jenkins コントローラーファイルシステムへの Item/Extended 読み取り権限またはアクセス権を持っているユーザーが表示する可能性があります。(CVE-2025-53668)

  - Jenkins VAddy Eyes プラグイン 1.2.8 以前では、ジョブ設定フォームに表示される Vaddy API Auth キーがマスクされないため、攻撃者がそれらを観察して取得する可能性が高くなります。(CVE-2025-53669)

  - Jenkins Nouvola DiveCloud プラグイン 1.08 以前は、暗号化されていない DiveCloud API キーを Jenkins コントローラー上のジョブ config.xml ファイルに保存するため、Jenkins コントローラーファイルシステムへの Item/Extended 読み取り権限またはアクセス権を持っているユーザーが表示する可能性があります。(CVE-2025-53670)

  - Jenkins Nouvola DiveCloud プラグイン 1.08 以前では、ジョブ設定フォームに表示される DiveCloud API キーおよび認証情報暗号化キーがマスクされないため、攻撃者がそれらを観察して取得する可能性が高くなります。(CVE-2025-53671)

  - Jenkins Kryptowire プラグイン 0.2 以前では、Kryptowire API キーは暗号化されていない状態で Jenkins コントローラーのグローバル設定ファイルに保存され、Jenkins コントローラーファイルシステムへのアクセス権を持つユーザーが表示できます。(CVE-2025-53672)

  - Jenkins Sensedia Api Platform ツールプラグイン 1.0 以前では、Sensedia API Manager 統合トークンは暗号化されていない状態で Jenkins コントローラーのグローバル設定ファイルに保存され、Jenkins コントローラーファイルシステムへのアクセス権を持つユーザーが表示できます。(CVE-2025-53673)

  - Jenkins Sensedia Api Platform ツールプラグイン 1.0 は、グローバル設定フォームの Sensedia API Manager 統合トークンをマスクしないため、攻撃者がこれを観察および取得する可能性が高まります。
    (CVE-2025-53674)

  - Jenkins Warrior Framework プラグイン 1.2 以前では、パスワードは暗号化されていない状態で Jenkins コントローラーのジョブの config.xml ファイルに保存されているため、Jenkins コントローラーファイルシステムへの Extended Read アクセス許可またはアクセス権を持つユーザーが表示できます。(CVE-2025-53675)

  - Jenkins Xooa プラグイン 0.0.7 以前では、Xooa Deployment トークンは暗号化されていない状態で Jenkins コントローラーのグローバル設定ファイルに保存され、Jenkins コントローラーファイルシステムへのアクセス権を持つユーザーが表示できます。(CVE-2025-53676)

  - Jenkins Xooa プラグイン 0.0.7 以前は、グローバル設定フォームの Xooa Deployment トークンをマスクしないため、攻撃者がこれを観察およびキャプチャする可能性が高くなります。(CVE-2025-53677)

  - Jenkins User1st uTester プラグイン 1.1 以前では、uTester JWT トークンは暗号化されていない状態で Jenkins コントローラーのグローバル設定ファイルに保存され、Jenkins コントローラーファイルシステムへのアクセス権を持つユーザーが表示できます。(CVE-2025-53678)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

According to their self-reported version numbers, the version of Jenkins plugins running on the remote web server are affected by multiple vulnerabilities:

  - Jenkins Applitools Eyes Plugin 1.16.5 and earlier stores Applitools API keys unencrypted in job config.xml     files on the Jenkins controller, where they can be viewed by users with Item/Extended Read permission or     access to the Jenkins controller file system. (CVE-2025-53742)

  - Jenkins Applitools Eyes Plugin 1.16.5 and earlier does not escape the Applitools URL on the build page,     resulting in a stored cross-site scripting (XSS) vulnerability exploitable by attackers with     Item/Configure permission. (CVE-2025-53658)

  - Jenkins Credentials Binding Plugin 687.v619cb_15e923f and earlier does not properly mask (i.e., replace     with asterisks) credentials present in exception error messages that are written to the build log.
    (CVE-2025-53650)

  - Jenkins HTML Publisher Plugin 425 and earlier displays log messages that include the absolute paths of     files archived during the Publish HTML reports post-build step, exposing information about the Jenkins     controller file system in the build log. (CVE-2025-53651)

  - Jenkins Git Parameter Plugin 439.vb_0e46ca_14534 and earlier does not validate that the Git parameter     value submitted to the build matches one of the offered choices, allowing attackers with Item/Build     permission to inject arbitrary values into Git parameters. (CVE-2025-53652)

  - Jenkins Aqua Security Scanner Plugin 3.2.8 and earlier stores Scanner Tokens for Aqua API unencrypted in     job config.xml files on the Jenkins controller, where they can be viewed by users with Item/Extended Read     permission or access to the Jenkins controller file system. (CVE-2025-53653)

  - Jenkins Statistics Gatherer Plugin 2.0.3 and earlier stores the AWS Secret Key unencrypted in its global     configuration file on the Jenkins controller, where it can be viewed by users with access to the Jenkins     controller file system. (CVE-2025-53654)

  - Jenkins Statistics Gatherer Plugin 2.0.3 and earlier does not mask the AWS Secret Key on the global     configuration form, increasing the potential for attackers to observe and capture it. (CVE-2025-53655)

  - Jenkins ReadyAPI Functional Testing Plugin 1.11 and earlier stores SLM License Access Keys, client     secrets, and passwords unencrypted in job config.xml files on the Jenkins controller, where they can be     viewed by users with Item/Extended Read permission or access to the Jenkins controller file system.
    (CVE-2025-53656)

  - Jenkins ReadyAPI Functional Testing Plugin 1.11 and earlier does not mask SLM License Access Keys, client     secrets, and passwords displayed on the job configuration form, increasing the potential for attackers to     observe and capture them. (CVE-2025-53657)

  - Jenkins Applitools Eyes Plugin 1.16.5 and earlier does not mask Applitools API keys displayed on the job     configuration form, increasing the potential for attackers to observe and capture them. (CVE-2025-53743)

  - Jenkins QMetry Test Management Plugin 1.13 and earlier stores Qmetry Automation API Keys unencrypted in     job config.xml files on the Jenkins controller, where they can be viewed by users with Item/Extended Read     permission or access to the Jenkins controller file system. (CVE-2025-53659)

  - Jenkins QMetry Test Management Plugin 1.13 and earlier does not mask Qmetry Automation API Keys displayed     on the job configuration form, increasing the potential for attackers to observe and capture them.
    (CVE-2025-53660)

  - Jenkins Testsigma Test Plan run Plugin 1.6 and earlier does not mask Testsigma API keys displayed on the     job configuration form, increasing the potential for attackers to observe and capture them.
    (CVE-2025-53661)

  - Jenkins IFTTT Build Notifier Plugin 1.2 and earlier stores IFTTT Maker Channel Keys unencrypted in job     config.xml files on the Jenkins controller, where they can be viewed by users with Item/Extended Read     permission or access to the Jenkins controller file system. (CVE-2025-53662)

  - Jenkins IBM Cloud DevOps Plugin 2.0.16 and earlier stores SonarQube authentication tokens unencrypted in     job config.xml files on the Jenkins controller, where they can be viewed by users with Item/Extended Read     permission or access to the Jenkins controller file system. (CVE-2025-53663)

  - Jenkins Apica Loadtest Plugin 1.10 and earlier stores Apica Loadtest LTP authentication tokens unencrypted     in job config.xml files on the Jenkins controller, where they can be viewed by users with Item/Extended     Read permission or access to the Jenkins controller file system. (CVE-2025-53664)

  - Jenkins Apica Loadtest Plugin 1.10 and earlier does not mask Apica Loadtest LTP authentication tokens     displayed on the job configuration form, increasing the potential for attackers to observe and capture     them. (CVE-2025-53665)

  - Jenkins Dead Man's Snitch Plugin 0.1 stores Dead Man's Snitch tokens unencrypted in job config.xml files     on the Jenkins controller, where they can be viewed by users with Item/Extended Read permission or access     to the Jenkins controller file system. (CVE-2025-53666)

  - Jenkins Dead Man's Snitch Plugin 0.1 does not mask Dead Man's Snitch tokens displayed on the job     configuration form, increasing the potential for attackers to observe and capture them. (CVE-2025-53667)

  - Jenkins VAddy Plugin 1.2.8 and earlier stores Vaddy API Auth Keys unencrypted in job config.xml files on     the Jenkins controller, where they can be viewed by users with Item/Extended Read permission or access to     the Jenkins controller file system. (CVE-2025-53668)

  - Jenkins VAddy Plugin 1.2.8 and earlier does not mask Vaddy API Auth Keys displayed on the job     configuration form, increasing the potential for attackers to observe and capture them. (CVE-2025-53669)

  - Jenkins Nouvola DiveCloud Plugin 1.08 and earlier stores DiveCloud API Keys and Credentials Encryption     Keys unencrypted in job config.xml files on the Jenkins controller, where they can be viewed by users with     Item/Extended Read permission or access to the Jenkins controller file system. (CVE-2025-53670)

  - Jenkins Nouvola DiveCloud Plugin 1.08 and earlier does not mask DiveCloud API Keys and Credentials     Encryption Keys displayed on the job configuration form, increasing the potential for attackers to observe     and capture them. (CVE-2025-53671)

  - Jenkins Kryptowire Plugin 0.2 and earlier stores the Kryptowire API key unencrypted in its global     configuration file on the Jenkins controller, where it can be viewed by users with access to the Jenkins     controller file system. (CVE-2025-53672)

  - Jenkins Sensedia Api Platform tools Plugin 1.0 stores the Sensedia API Manager integration token     unencrypted in its global configuration file on the Jenkins controller, where it can be viewed by users     with access to the Jenkins controller file system. (CVE-2025-53673)

  - Jenkins Sensedia Api Platform tools Plugin 1.0 does not mask the Sensedia API Manager integration token on     the global configuration form, increasing the potential for attackers to observe and capture it.
    (CVE-2025-53674)

  - Jenkins Warrior Framework Plugin 1.2 and earlier stores passwords unencrypted in job config.xml files on     the Jenkins controller, where they can be viewed by users with Item/Extended Read permission or access to     the Jenkins controller file system. (CVE-2025-53675)

  - Jenkins Xooa Plugin 0.0.7 and earlier stores the Xooa Deployment Token unencrypted in its global     configuration file on the Jenkins controller, where it can be viewed by users with access to the Jenkins     controller file system. (CVE-2025-53676)

  - Jenkins Xooa Plugin 0.0.7 and earlier does not mask the Xooa Deployment Token on the global configuration     form, increasing the potential for attackers to observe and capture it. (CVE-2025-53677)

  - Jenkins User1st uTester Plugin 1.1 and earlier stores the uTester JWT token unencrypted in its global     configuration file on the Jenkins controller, where it can be viewed by users with access to the Jenkins     controller file system. (CVE-2025-53678)

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

根據其自我報告的版本號碼，遠端 Web 伺服器上執行的 Jenkins plugin 版本受到多個弱點影響：

  - Jenkins Applitools Eyes Plugin 1.16.5 及更舊版本會將未加密的 Applitools API 金鑰儲存在 Jenkins 控制器上的工作 config.xml 檔案中，而這些 API 金鑰可由具有 Item/Extended 讀取權限或具有 Jenkins 控制器檔案系統存取權的使用者檢視。(CVE-2025-53742)

  - Jenkins Applitools Eyes Plugin 1.16.5 及更舊版本不會在建構頁面逸出 Applitools URL，進而會導致具有「Job/Configure」權限的攻擊者可利用的儲存型跨網站指令碼 (XSS) 弱點。(CVE-2025-53658)

  - Jenkins Credentials Binding Plugin 687.v619cb_15e923f 和更舊版本未正確遮蔽 (亦即以星號取代) 寫入至構建記錄的例外狀況錯誤訊息中存在的認證。
    (CVE-2025-53650)

  - Jenkins HTML Publisher Plugin 425 和更舊版本會顯示包含「發布 HTML 報告構建後步驟」期間封存的絕對路徑的記錄訊息，進而在構建記錄中洩漏 Jenkins 控制器檔案系統的相關資訊。(CVE-2025-53651)

  - Jenkins Git 參數外掛程式 439.vb_0e46ca_14534 和更舊版本未驗證提交至 build 的 Git 參數值是否符合提供的其中一個選項，進而允許具有 Item/Build 權限的攻擊者將任意值插入 Git 參數。 (CVE-2025-53652)

  - Jenkins Aqua Security Scanner Plugin 3.2.8 及更舊版本會將未加密的 Scanner Tokens for Aqua API 儲存在 Jenkins 控制器上的工作 config.xml 檔案中，而這些存取權杖可由具有「Item/Extended」權限或具有 Jenkins 控制器檔案系統存取權的使用者檢視。(CVE-2025-53653)

  - Jenkins Statistics Gatherer Plugin 2.0.3 及更舊版本會將未加密的 AWS Secret 金鑰儲存在 Jenkins 控制器上的全域組態檔案中，而這些密碼可由具有 Jenkins 控制器檔案系統存取權的使用者檢視。(CVE-2025-53654)

  - Jenkins Statistics Gatherer Plugin 2.0.3 及更舊版本未遮罩全域組態表單上的 AWS Secret 金鑰，這增加了攻擊者觀察和擷取密碼的可能性。(CVE-2025-53655)

  - Jenkins ReadyAPI Functional Testing Plugin 1.11 及更早版本會將 SLM License Access 金鑰、用戶端密碼和未加密的密碼儲存在 Jenkins 控制器的工作 config.xml 檔案中，而具有 Item/Extended 讀取權限或具有 Jenkins 控制器檔案系統存取權的使用者可以檢視這些密碼。
    (CVE-2025-53656)

  - Jenkins ReadyAPI Functional Testing Plugin 1.11 及更舊版本未遮罩工作組態表單上的 SLM License Access 金鑰、用戶端密碼和密碼，這增加了攻擊者觀察和擷取這些權杖的可能性。(CVE-2025-53657)

  - Jenkins Applitools Eyes Plugin 1.16.5 及更舊版本未遮罩工作設定表單上的 Applitools API 金鑰，這增加了攻擊者觀察和擷取這些權杖的可能性。(CVE-2025-53743)

  - Jenkins QMetry Test Management Plugin 1.13 及更舊版本會將未加密的 Qmetry Automation API 金鑰儲存在 Jenkins 控制器上的工作 config.xml 檔案中，而這些 API 金鑰可由具有 Item/Extended 讀取權限或具有 Jenkins 控制器檔案系統存取權的使用者檢視。(CVE-2025-53659)

  - Jenkins QMetry Test Management Plugin 1.13 及更舊版本未遮罩工作設定表單上的 Qmetry Automation API 金鑰，這增加了攻擊者觀察和擷取這些權杖的可能性。
    (CVE-2025-53660)

  - Jenkins Testsigma Test Plan run Plugin 1.6 及更舊版本未遮罩工作設定表單上的 Testsigma API 金鑰，這增加了攻擊者觀察和擷取這些權杖的可能性。
    (CVE-2025-53661)

  - Jenkins IFTTT Build Notifier Plugin 1.2 及更舊版本會將未加密的 IFTTT Maker Channel 金鑰儲存在 Jenkins 控制器上的工作 config.xml 檔案中，而這些 API 金鑰可由具有 Item/Extended 讀取權限或具有 Jenkins 控制器檔案系統存取權的使用者檢視。(CVE-2025-53662)

  - Jenkins IBM Cloud DevOps Plugin 2.0.16 及更舊版本會將未加密的 SonarQube 驗證權杖儲存在 Jenkins 控制器上的工作 config.xml 檔案中，而這些存取權杖可由具有「Item/Extended」權限或具有 Jenkins 控制器檔案系統存取權的使用者檢視。(CVE-2025-53663)

  - Jenkins Apica Loadtest Plugin 1.10 及更舊版本會將未加密的 Apica Loadtest LTP 驗證權杖儲存在 Jenkins 控制器上的工作 config.xml 檔案中，而這些存取權杖可由具有「Item/Extended」權限或具有 Jenkins 控制器檔案系統存取權的使用者檢視。(CVE-2025-53664)

  - Jenkins Apica Loadtest Plugin 1.10 及更舊版本未遮罩工作組態表單上的 Apica Loadtest LTP 驗證權杖，這增加了攻擊者觀察和擷取這些權杖的可能性。(CVE-2025-53665)

  - Jenkins Dead Man's Snitch Plugin 0.1 會將未加密的 Dead Man's Snitch 權杖儲存在 Jenkins 控制器上的工作 config.xml 檔案中，而這些存取權杖可由具有「Item/Extended」權限或具有 Jenkins 控制器檔案系統存取權的使用者檢視。(CVE-2025-53666)

  - Jenkins Dead Man's Snitch Plugin 0.1 未遮罩工作組態表單上的 Dead Man's Snitch 權杖，這增加了攻擊者觀察和擷取這些權杖的可能性。(CVE-2025-53667)

  - Jenkins VAddy Plugin 1.2.8 及更舊版本會將未加密的 Vaddy API Auth 金鑰儲存在 Jenkins 控制器上的工作 config.xml 檔案中，而這些 API 金鑰可由具有 Item/Extended 讀取權限或具有 Jenkins 控制器檔案系統存取權的使用者檢視。(CVE-2025-53668)

  - Jenkins VAddy Plugin 1.2.8 及更舊版本未遮罩工作設定表單上的 Vaddy API Auth 金鑰，這增加了攻擊者觀察和擷取這些權杖的可能性。(CVE-2025-53669)

  - Jenkins Nouvola DiveCloud Plugin 1.08 及更舊版本會將未加密的 DiveCloud API 金鑰以及憑證加密金鑰儲存在 Jenkins 控制器上的工作 config.xml 檔案中，而這些 API 金鑰可由具有 Item/Extended 讀取權限或具有 Jenkins 控制器檔案系統存取權的使用者檢視。(CVE-2025-53670)

  - Jenkins Nouvola DiveCloud Plugin 1.08 及更舊版本未遮罩工作設定表單上的 DiveCloud API 金鑰以及憑證加密金鑰，這增加了攻擊者觀察和擷取這些權杖的可能性。(CVE-2025-53671)

  - Jenkins Kryptowire Plugin 0.2 及更舊版本會將未加密的 Kryptowire API 金鑰儲存在 Jenkins 控制器上的全域組態檔案中，而這些密碼可由具有 Jenkins 控制器檔案系統存取權的使用者檢視。(CVE-2025-53672)

  - Jenkins Sensedia Api Platform tools Plugin 1.0 會將未加密的Sensedia API Manager Integration Token 儲存在 Jenkins 控制器的全域組態檔中，而具有 Jenkins 控制器檔案系統存取權的使用者可以檢視這些密碼。(CVE-2025-53673)

  - Jenkins Sensedia Api Platform tools Plugin 1.0 未遮蔽全域組態表單上的 Sensedia API Manager Integration Token，進而增加攻擊者觀察和擷取它的可能性。
    (CVE-2025-53674)

  - Jenkins Warrior Framework Plugin 1.2 及更早版本會將未加密的密碼儲存在 Jenkins 控制器的工作 config.xml 檔案中，而具有 Item/Extended 讀取權限或具有 Jenkins 控制器檔案系統存取權的使用者可以檢視這些密碼。(CVE-2025-53675)

  - Jenkins Xooa Plugin 0.0.7 及更早版本會將未加密的 Xooa Deployment Token 儲存在 Jenkins 控制器的全域組態檔中，而具有 Jenkins 控制器檔案系統存取權的使用者可以檢視這些密碼。(CVE-2025-53676)

  - Jenkins Xooa Plugin 0.0.7 及更舊版本未遮罩全域組態表單上的 Xooa Deployment Token，這增加了攻擊者觀察和擷取密碼的可能性。(CVE-2025-53677)

  - Jenkins User1st uTester Plugin 1.1 及更早版本會將未加密的 uTester JWT Token 儲存在 Jenkins 控制器的全域組態檔中，而具有 Jenkins 控制器檔案系統存取權的使用者可以檢視這些密碼。(CVE-2025-53678)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

根据其自我报告的版本号，远程 Web 服务器上运行的相应版本的 Jenkins 插件受到多种漏洞的影响：

  - Jenkins Applitools Eyes Plugin 1.16.5 及更早版本会将未加密的 Applitools API 密钥存储在 Jenkins 控制器上的作业 config.xml 文件中，因此具有“项目/扩展读取”权限或 Jenkins 控制器文件系统访问权限的用户可查看这些密钥。(CVE-2025-53742)

  - Jenkins Applitools Eyes Plugin 1.16.5 及更早版本未对构建页面的 Applitools URL 转义，导致存储型跨站脚本 (XSS) 漏洞，具有“项目/配置”权限的攻击者可利用此漏洞来执行攻击。(CVE-2025-53658)

  - Jenkins Credentials Binding Plugin 687.v619cb_15e923f 和更早版本未正确屏蔽（即替换为星号）写入构建日志的异常错误消息中出现的凭据。
    (CVE-2025-53650)

  - Jenkins HTML Publisher Plugin 425 和更早版本会在 Publish HTML 报告后构建步骤中显示包含存档文件绝对路径的日志消息，从而在构建日志中泄露 Jenkins 控制器文件系统的相关信息。(CVE-2025-53651)

  - Jenkins Git Parameter Plugin 439.vb_0e46ca_14534 和更早版本不会验证提交到版本的 Git 参数值是否匹配所提供的一个选择，从而允许具有“项目/构建”权限的攻击者将任意值注入 Git 参数。(CVE-2025-53652)

  - Jenkins Aqua Security Scanner Plugin 3.2.8 及更早版本会将未加密的 Applitools API 扫描程序令牌存储在 Jenkins 控制器上的作业 config.xml 文件中，因此具有“项目/扩展读取”权限或 Jenkins 控制器文件系统访问权限的用户可查看这些令牌。(CVE-2025-53653)

  - Jenkins Statistics Gatherer Plugin 2.0.3 及更低版本会将其全局配置文件中未加密的 AWS Secret Key 存储在 Jenkins 控制器上，因此拥有 Jenkins 控制器文件系统访问权限的用户可在此查看此密钥。(CVE-2025-53654)

  - Jenkins Statistics Gatherer Plugin 2.0.3 及更早版本未对全局配置表单上的 AWS Secret Key 进行掩码，这增加了攻击者观察和捕获该密钥的可能性。(CVE-2025-53655)

  - Jenkins ReadyAPI Functional Testing Plugin 1.11 及更早版本会将未加密的 SLM 许可访问密钥、客户端密钥和密码存储在 Jenkins 控制器上的作业 config.xml 文件中，因此具有“项目/扩展读取”权限或 Jenkins 控制器文件系统访问权限的用户可查看这些密钥和密码。
    (CVE-2025-53656)

  - Jenkins ReadyAPI Functional Testing Plugin 1.11 及更低版本未对作业配置表单上显示的 SLM 许可访问密钥、客户端密钥和密码进行掩码，这增加了攻击者观察和捕获这些密钥和密码的可能性。(CVE-2025-53657)

  - Jenkins Applitools Eyes Plugin 1.16.5 及更低版本未对作业配置表单上显示的 Applitools API 密钥进行掩码，这增加了攻击者观察和捕获密钥的可能性。(CVE-2025-53743)

  - Jenkins QMetry Test Management Plugin 1.13 及更早版本会将未加密的  Qmetry Automation API 密钥存储在 Jenkins 控制器上的作业 config.xml 文件中，因此具有“项目/扩展读取”权限或 Jenkins 控制器文件系统访问权限的用户可查看这些密钥。(CVE-2025-53659)

  - Jenkins QMetry Test Management Plugin 1.13 及更低版本未对作业配置表单上显示的 Qmetry Automation API 密钥进行掩码，这增加了攻击者观察和捕获密钥的可能性。
    (CVE-2025-53660)

  - Jenkins Testsigma Test Plan run Plugin 1.6 及更低版本未对作业配置表单上显示的 Testsigma API 密钥进行掩码，这增加了攻击者观察和捕获密钥的可能性。
    (CVE-2025-53661)

  - Jenkins IFTTT Build Notifier Plugin 1.2 及更早版本会将未加密的 IFTTT Maker Channel 密钥存储在 Jenkins 控制器上的作业 config.xml 文件中，因此具有“项目/扩展读取”权限或 Jenkins 控制器文件系统访问权限的用户可查看这些密钥。(CVE-2025-53662)

  - Jenkins IBM Cloud DevOps Plugin 2.0.16 及更低版本会将未加密的 SonarQube 身份验证令牌存储在 Jenkins 控制器上的作业 config.xml 文件中，因此具有“项目/扩展读取”权限或 Jenkins 控制器文件系统访问权限的用户可查看这些令牌。(CVE-2025-53663)

  - Jenkins Apica Loadtest Plugin 1.10 及更低版本会将未加密的 Loadtest LTP 身份验证令牌存储在 Jenkins 控制器上的作业 config.xml 文件中，因此具有“项目/扩展读取”权限或 Jenkins 控制器文件系统访问权限的用户可查看这些令牌。(CVE-2025-53664)

  - Jenkins Apica Loadtest Plugin 1.10 及更低版本未对作业配置表单上显示的 Apica Loadtest LTP 身份验证令牌进行掩码，这增加了攻击者观察和捕获令牌的可能性。(CVE-2025-53665)

  - Jenkins Dead Man's Snitch Plugin 0.1 及更低版本会将未加密的 Snitch 令牌存储在 Jenkins 控制器上的作业 config.xml 文件中，因此具有“项目/扩展读取”权限或 Jenkins 控制器文件系统访问权限的用户可查看这些令牌。(CVE-2025-53666)

  - Jenkins Dead Man's Snitch Plugin 0.1 未对作业配置表单上显示的 Dead Man's Snitch 令牌进行掩码，这增加了攻击者观察和捕获令牌的可能性。(CVE-2025-53667)

  - Jenkins VAddy Plugin 1.2.8 及更早版本会将未加密的 Vaddy API 验证密钥存储在 Jenkins 控制器上的作业 config.xml 文件中，因此具有“项目/扩展读取”权限或 Jenkins 控制器文件系统访问权限的用户可查看这些密钥。(CVE-2025-53668)

  - Jenkins VAddy Plugin 1.2.8 及更低版本未对作业配置表单上显示的 Vaddy API 验证密钥进行掩码，这增加了攻击者观察和捕获密钥的可能性。(CVE-2025-53669)

  - Jenkins Nouvola DiveCloud Plugin 1.08 及更早版本会将未加密的 DiveCloud API 密钥和凭据加密密钥存储在 Jenkins 控制器上的作业 config.xml 文件中，因此具有“项目/扩展读取”权限或 Jenkins 控制器文件系统访问权限的用户可查看这些密钥。(CVE-2025-53670)

  - Jenkins Nouvola DiveCloud Plugin 1.08 及更低版本未对作业配置表单上显示的 DiveCloud API 密钥和凭据加密密钥进行掩码，这增加了攻击者观察和捕获密钥的可能性。(CVE-2025-53671)

  - Jenkins Kryptowire Plugin 0.2 及更低版本会将其全局配置文件中未加密的 Kryptowire API 密钥存储在 Jenkins 控制器上，因此拥有 Jenkins 控制器文件系统访问权限的用户可在此查看此密钥。(CVE-2025-53672)

  - Jenkins Sensedia Api Platform tools Plugin 1.0 会将其全局配置文件中未加密的 Sensedia API Manager 集成令牌存储在 Jenkins 控制器上，因此拥有 Jenkins 控制器文件系统访问权限的用户可在此查看此令牌。(CVE-2025-53673)

  - Jenkins Sensedia Api Platform tools Plugin 1.0 未对全局配置表单上的 Sensedia API Manager 集成令牌进行掩码，这增加了攻击者观察和捕获此令牌的可能性。
    (CVE-2025-53674)

  - Jenkins Warrior Framework Plugin 1.2 及更早版本会将未加密的密码存储在 Jenkins 控制器上的作业 config.xml 文件中，因此具有“项目/扩展读取”权限或 Jenkins 控制器文件系统访问权限的用户可查看这些密码。(CVE-2025-53675)

  - Jenkins Xooa Plugin 0.0.7 及更早版本会将其全局配置文件中未加密的 Xooa 部署令牌存储在 Jenkins 控制器上，因此拥有 Jenkins 控制器文件系统访问权限的用户可在此查看此令牌。(CVE-2025-53676)

  - Jenkins Xooa Plugin 0.0.7 及更早版本未对全局配置表单上的 Xooa 部署令牌进行掩码，这增加了攻击者观察和捕获该令牌的可能性。(CVE-2025-53677)

  - Jenkins User1st uTester Plugin 1.1 及更早版本会将其全局配置文件中未加密的 uTester JWT 令牌存储在 Jenkins 控制器上，因此拥有 Jenkins 控制器文件系统访问权限的用户可在此查看此令牌。(CVE-2025-53678)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

ID	Name	Product	Family	Published	Updated	Severity
241693	Jenkins プラグインの複数の脆弱性 (2025 年 7 月 9 日)	Nessus	CGI abuses	7/10/2025	7/10/2025	medium
241693	Jenkins plugins Multiple Vulnerabilities (2025-07-09)	Nessus	CGI abuses	7/10/2025	7/10/2025	medium
241693	Jenkins plugins 多個弱點 (2025-07-09)	Nessus	CGI abuses	7/10/2025	7/10/2025	medium
241693	Jenkins 插件的多个漏洞 (2025-07-09)	Nessus	CGI abuses	7/10/2025	7/10/2025	medium

Detections

Analytics

Plugins Search

medium

medium

medium

medium