There are packages installed that are affected by a vulnerability referenced in the following CVE:

  - Jenkins HTML Publisher Plugin 427 and earlier does not escape job name and URL in the legacy wrapper file,
    resulting in a stored cross-site scripting (XSS) vulnerability exploitable by attackers with
    Item/Configure permission. (CVE-2026-42524)

根據其自我報告的版本號碼，遠端 Web 伺服器上執行的 Jenkins plugin 版本受到多個弱點影響：

  - 高階 HTML Publisher Plugin 427 及更早版本無法逃逸於舊有包裝檔案中的工作名稱與網址。
    這會導致具有 Item/Configure 權限的攻擊者利用已儲存的跨網站指令碼 (XSS) 弱點。HTML Publisher Plugin 427.1 在產生舊有包裝器檔案時，會跳脫工作名稱和網址。此修正僅適用於新產生的包裝器。在 Jenkins 2.539 及更新版本、LTS 2.541.1 及更新版本中，強制執行內容安全政策保護可減輕此漏洞。此漏洞已透過歐盟委員會贊助的 Jenkins 蟲子賞金計畫被通報。
    (CVE-2026-42524)

  - Medium Script Security Plugin 1399.ve6a_66547f6e1及更早版本不會在 HTTP 端點執行權限檢查。這使得擁有 Overall/Read 權限的攻擊者能夠列舉待處理及核准的腳本安全類別路徑。腳本安全外掛 1402.v94c9ce464861 需要 Overall/Administer 權限來列舉待處理及核准的腳本安全類別路徑。此漏洞已透過歐盟委員會贊助的 Jenkins 蟲子賞金計畫被通報。（CVE-2026-42519）

  - 高憑證綁定外掛719.v80e905ef14eb_及更早版本不會淨化檔案名稱以處理檔案與壓縮檔憑證。這讓攻擊者能夠提供憑證給工作，將檔案寫入節點檔案系統中的任意位置。如果 Jenkins 設定允許低權限使用者設定用於內建節點上執行的工作所需的檔案或壓縮檔憑證，這可能導致遠端程式碼執行。憑證綁定插件720.v3f6decef43ea_會淨化檔案與壓縮檔憑證所提供的檔案名稱，防止路徑穿越。此漏洞已透過歐盟委員會贊助的 Jenkins 蟲子賞金計畫被通報。（CVE-2026-42520）

  - Medium Matrix Authorization Strategy Plugin 2.0-beta-1 至 3.2.9 （兩者包含） 在反序列化繼承策略時，能呼叫配置中指定的類別無參數建構子，且不限制可實例化的類別。攻擊者可能會濫用此權限，擁有 Item/Configure 權限來實例任意類型，可能導致資訊洩露或其他影響，視類別路徑上可用的類別而定。矩陣授權策略外掛 3.2.10 可驗證實例化的類別是否為繼承策略實作，防止任意型態實例化。此漏洞已透過歐盟委員會贊助的 Jenkins 蟲子賞金計畫被通報。（CVE-2026-42521）

  - Medium GitHub 分支原始碼插件1967.vdea_d580c1a_b_a_及更早版本在實作表單驗證的方法中不會執行權限檢查。這讓擁有 Overall/Read 權限的攻擊者能連接到攻擊者指定的 URL 與其指定的 GitHub App 憑證。GitHub Branch Source 外掛 1967.1969.v205fd594c821 需要 Overall/Manage 權限才能執行連線測試。此漏洞已透過歐盟委員會贊助的 Jenkins 蟲子賞金計畫被通報。（CVE-2026-42522）

  - 高 GitHub 外掛 1.46.0 ，且早期錯誤地處理目前的工作 URL，作為 JavaScript 實作 GitHub hook 觸發功能驗證的一部分，用於 GITScm 輪詢。這導致一個儲存的跨站腳本（XSS）漏洞，可被非匿名攻擊者利用，且擁有 Overall/Read 權限。GitHub 外掛 1.46.0.1 不再作為 JavaScript 驗證 GitHub hook 觸發功能來驗證 GITScm 輪詢的功能，而處理目前的工作網址。此漏洞已透過歐盟委員會贊助的 Jenkins 蟲子賞金計畫被通報。
    (CVE-2026-42523)

  - Medium Microsoft Entra ID（前稱 Azure AD）外掛 666.v6060de32f87d 及更早版本，登入後不會限制重定向網址。攻擊者可利用此弱點發動網路釣魚攻擊，讓使用者前往 Jenkins URL，而此 URL 會在成功驗證後將使用者轉送到其他網站。Microsoft Entra ID（前稱 Azure AD）插件667.v4c5827a_e74a_0只會重定向到相對的（Jenkins）網址。
    (CVE-2026-42525)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

根据其自我报告的版本号，远程 Web 服务器上运行的相应版本的 Jenkins 插件受到多种漏洞的影响：

  - 高 HTML Publisher 插件 427 及更早版本无法在遗留包装文件中逃逸作业名称和 URL。
    这会导致具有项目/配置权限的攻击者可利用存储型跨站脚本 (XSS) 漏洞。HTML Publisher插件 427.1 在生成遗留包装文件时会逃逸作业名称和URL。此修复仅适用于新生成的包装器。在Jenkins 2.539 及更先进的LTS 2.541.1 及更新版本中，执行内容安全策略保护可以减轻该漏洞。该漏洞已通过欧盟委员会赞助的詹金斯虫子赏金计划报告。
    (CVE-2026-42524)

  - Medium Script 安全插件1399.ve6a_66547f6e1及更早版本不会在 HTTP 端点执行权限检查。这使得拥有 Overall/Read 权限的攻击者能够枚举待处理和批准的脚本安全类路径。脚本安全插件 1402.v94c9ce464861 要求 Overall/Administer 权限来枚举待处理和批准的脚本安全类路径。该漏洞已通过欧盟委员会赞助的詹金斯虫子赏金计划报告。（CVE-2026-42519）

  - 高凭证绑定插件719.v80e905ef14eb_及更早版本不对文件和压缩文件凭证进行净化。这使得攻击者能够向作业提供凭证，将文件写入节点文件系统中的任意位置。如果 Jenkins 配置允许低权限用户配置用于内置节点上运行作业的文件或压缩文件凭据，这可能导致远程代码执行。凭据绑定插件720.v3f6decef43ea_净化文件和压缩文件凭据所提供的文件名，防止路径穿越。该漏洞已通过欧盟委员会赞助的詹金斯虫子赏金计划报告。（CVE-2026-42520）

  - Medium Matrix Authorization Strategy 插件 2.0-beta-1 通过 3.2.9 （两者包含）调用在反序列化继承策略时配置中指定的类的无参数构造子，但不限制可实例化的类。攻击者可能会滥用该权限，利用Item/配置权限实例化任意类型，可能导致信息泄露或其他影响，具体取决于类路径上可用的类。矩阵授权策略插件 3.2.10 验证被实例化的类是否为继承策略实现，防止任意类型的实例化。该漏洞已通过欧盟委员会赞助的詹金斯虫子赏金计划报告。（CVE-2026-42521）

  - Medium GitHub 分支源插件1967.vdea_d580c1a_b_a_及更早版本在实现表单验证的方法中不进行权限检查。这使得拥有Overall/Read权限的攻击者能够连接到攻击者指定的URL及其指定的GitHub应用凭证。GitHub 分支源插件 1967.1969.v205fd594c821 需要 Overall/Manage 权限才能进行连接测试。该漏洞已通过欧盟委员会赞助的詹金斯虫子赏金计划报告。（CVE-2026-42522）

  - GitHub 插件 1.46.0 及早期错误处理当前工作 URL，作为 JavaScript 实现 GitHub 钩子触发功能验证 GITScm 轮询功能的一部分。这导致了一个存储的跨站脚本（XSS）漏洞，非匿名攻击者可利用拥有Overall/Read权限。GitHub 插件 1.46.0.1 不再作为 JavaScript 实现 GitHub 钩子触发功能验证 GITScm 轮询功能的一部分来处理当前的职位 URL。该漏洞已通过欧盟委员会赞助的詹金斯虫子赏金计划报告。
    (CVE-2026-42523)

  - Medium Microsoft Entra ID（前称Azure AD）插件666.v6060de32f87d及更早版本不限制登录后的重定向URL。攻击者可借此让用户访问 Jenkins URL，进而在用户成功进行身份验证后将其转发至其他站点，从而执行钓鱼攻击。Microsoft Entra ID（前称Azure AD）插件667.v4c5827a_e74a_0只重定向到相对（Jenkins）URL。
    (CVE-2026-42525)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

自己報告によるバージョン番号によると、リモートウェブサーバー上で実行されているバージョンの Jenkins プラグインは、次の複数の脆弱性の影響を受けます。

  - High HTML Publisher Plugin 427以前は、レガシーラッパーファイル内のジョブ名とURLから脱出できません。
    これにより、Item / Configure アクセス許可を持つ攻撃者が悪用可能な蓄積型クロスサイトスクリプティング (XSS) の脆弱性が発生します。HTML Publisher Plugin 427.1 は、レガシーラッパーファイルを生成する際にジョブ名とURLをスケープします。この修正は新しく生成されたラッパーにのみ適用されます。Jenkins 2.539 以降、LTS 2.541.1 以降では、コンテンツセキュリティポリシー保護を強制することでこの脆弱性が軽減されます。この脆弱性は欧州委員会が支援するジェンキンス・バグ・バウンティ・プログラムを通じて報告されています。
    (CVE-2026-42524)

  - Medium Script Security Plugin 1399.ve6a_66547f6e1およびそれ以前のバージョンは、HTTPエンドポイントで権限チェックを行いません。これにより、Total/Read権限を持つ攻撃者は、保留中および承認されたスクリプトセキュリティクラスパスを列挙できます。スクリプトセキュリティプラグイン1402.v94c9ce464861は、保留中および承認されたスクリプトセキュリティクラスパスを列挙するためにOverall/Administerの権限を必要とします。この脆弱性は欧州委員会が支援するジェンキンス・バグ・バウンティ・プログラムを通じて報告されています。(CVE-2026-42519)

  - High Credentials Binding Plugin 719.v80e905ef14eb_およびそれ以前のバージョンでは、ファイル名やzipファイルの認証情報をサニタイズしていません。これにより、攻撃者はノードファイルシステム上の任意の場所にファイルを書き込むための認証情報をジョブに提供できます。Jenkinsが、組み込みノード上で動作するジョブで使用されるファイルやzipファイルの認証情報を低権限ユーザーが設定できるように設定されている場合、リモートコード実行につながる可能性があります。Credentials Binding Pluginは、ファイルおよびzipファイルの認証情報に提供されたファイル名をサニティ720.v3f6decef43ea_し、パス通過を防ぎます。この脆弱性は欧州委員会が支援するジェンキンス・バグ・バウンティ・プログラムを通じて報告されています。(CVE-2026-42520)

  - Medium Matrix Authorization Strategy Plugin 2.0-beta-1 から 3.2.9 (両方とも含む)は、継承戦略のデシリアライズ時に設定されたクラスのパラメータレスコンストラクタを呼び出しますが、インスタンス化可能なクラスを制限しません。これはItem/Configure権限を持つ攻撃者によって悪用され、任意の型をインスタンス化することがあり、クラスパス上のクラスによって情報開示やその他の影響を引き起こす可能性があります。Matrix Authorization Strategy Plugin 3.2.10 は、インスタンス化されるクラスが継承戦略の実装であることを検証し、任意の型のインスタンス化を防ぎます。この脆弱性は欧州委員会が支援するジェンキンス・バグ・バウンティ・プログラムを通じて報告されています。(CVE-2026-42521)

  - Medium GitHub Branch Source Plugin 1967.vdea_d580c1a_b_a_およびそれ以前のモデルは、フォーム検証を実装するメソッドで権限チェックを行いません。これにより、Overall/Read権限を持つ攻撃者は、攻撃者が指定したURLと攻撃者が指定したGitHubアプリの認証情報に接続できます。GitHub Branch Sourceプラグイン1967.1969.v205fd594c821は、接続テストを行うためにOverall/Manage権限が必要です。この脆弱性は欧州委員会が支援するジェンキンス・バグ・バウンティ・プログラムを通じて報告されています。(CVE-2026-42522)

  - GitHubプラグイン 1.46.0 が高く、以前はJavaScriptの一環として現在のジョブURLを不適切に処理し、GitHub hookトリガートリガーの検証を実装しています。これにより、匿名でない攻撃者がOverall/Read権限を持つ攻撃者に悪用可能な保存されたクロスサイトスクリプト(XSS)脆弱性が生まれます。GitHub 1.46.0.1 Pluginは、JavaScriptの実装の一環として現在のジョブURLを処理しなくなり、GitHub hookトリガー(GITScmポーリング)の検証を実装しています。この脆弱性は欧州委員会が支援するジェンキンス・バグ・バウンティ・プログラムを通じて報告されています。
    (CVE-2026-42523)

  - Medium Microsoft Entra ID(旧Azure AD)プラグイン666.v6060de32f87d以前は、ログイン後のリダイレクトURLを制限しません。これにより、攻撃者がフィッシング攻撃を実行し、ユーザーをJenkins URLに移動させ、認証成功後に別のサイトにユーザーを転送することがかのうです。Microsoft Entra ID(旧Azure AD)プラグイン667.v4c5827a_e74a_0は相対的な(Jenkins)URLにのみリダイレクトします。
    (CVE-2026-42525)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

According to their self-reported version numbers, the version of Jenkins plugins running on the remote web server are affected by multiple vulnerabilities:

  - High HTML Publisher Plugin 427 and earlier does not escape job name and URL in the legacy wrapper file.
    This results in a stored cross-site scripting (XSS) vulnerability exploitable by attackers with     Item/Configure permission. HTML Publisher Plugin 427.1 escapes job name and URL when generating the legacy     wrapper file. This fix only applies to newly generated wrappers. On Jenkins 2.539 and newer, LTS 2.541.1     and newer, enforcing Content Security Policy protection mitigates this vulnerability. This vulnerability     has been reported through the Jenkins Bug Bounty Program sponsored by the European Commission.
    (CVE-2026-42524)

  - Medium Script Security Plugin 1399.ve6a_66547f6e1 and earlier does not perform a permission check in an     HTTP endpoint. This allows attackers with Overall/Read permission to enumerate pending and approved Script     Security classpaths. Script Security Plugin 1402.v94c9ce464861 requires Overall/Administer permission to     enumerate pending and approved Script Security classpaths. This vulnerability has been reported through     the Jenkins Bug Bounty Program sponsored by the European Commission. (CVE-2026-42519)

  - High Credentials Binding Plugin 719.v80e905ef14eb_ and earlier does not sanitize file names for file and     zip file credentials. This allows attackers able to provide credentials to a job to write files to     arbitrary locations on the node filesystem. If Jenkins is configured to allow a low-privileged user to     configure file or zip file credentials used for a job running on the built-in node, this can lead to     remote code execution. Credentials Binding Plugin 720.v3f6decef43ea_ sanitizes the file name provided for     file and zip file credentials, preventing path traversal. This vulnerability has been reported through the     Jenkins Bug Bounty Program sponsored by the European Commission. (CVE-2026-42520)

  - Medium Matrix Authorization Strategy Plugin 2.0-beta-1 through 3.2.9 (both inclusive) invokes     parameterless constructors of classes specified in configuration when deserializing inheritance     strategies, without restricting the classes that can be instantiated. This can be abused by attackers with     Item/Configure permission to instantiate arbitrary types, which may lead to information disclosure or     other impacts depending on the classes available on the classpath. Matrix Authorization Strategy Plugin     3.2.10 verifies that the class being instantiated is an inheritance strategy implementation, preventing     instantiation of arbitrary types. This vulnerability has been reported through the Jenkins Bug Bounty     Program sponsored by the European Commission. (CVE-2026-42521)

  - Medium GitHub Branch Source Plugin 1967.vdea_d580c1a_b_a_ and earlier does not perform a permission check     in a method implementing form validation. This allows attackers with Overall/Read permission to connect to     an attacker-specified URL with attacker-specified GitHub App credentials. GitHub Branch Source Plugin     1967.1969.v205fd594c821 requires Overall/Manage permission to perform the connection test. This     vulnerability has been reported through the Jenkins Bug Bounty Program sponsored by the European     Commission. (CVE-2026-42522)

  - High GitHub Plugin 1.46.0 and earlier improperly processes the current job URL as part of JavaScript     implementing validation of the feature GitHub hook trigger for GITScm polling. This results in a stored     cross-site scripting (XSS) vulnerability exploitable by non-anonymous attackers with Overall/Read     permission. GitHub Plugin 1.46.0.1 no longer processes the current job URL as part of JavaScript     implementing validation of the feature GitHub hook trigger for GITScm polling. This vulnerability has     been reported through the Jenkins Bug Bounty Program sponsored by the European Commission.
    (CVE-2026-42523)

  - Medium Microsoft Entra ID (previously Azure AD) Plugin 666.v6060de32f87d and earlier does not restrict the     redirect URL after login. This allows attackers to perform phishing attacks by having users go to a     Jenkins URL that will forward them to a different site after successful authentication. Microsoft Entra ID     (previously Azure AD) Plugin 667.v4c5827a_e74a_0 only redirects to relative (Jenkins) URLs.
    (CVE-2026-42525)

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

ID	Name	Product	Family	Published	Updated	Severity
441421	SCA: security update for org.jenkins-ci.plugins:htmlpublisher (GHSA-f8h4-46xv-h7jj)	Tenable Cloud Security	SCA Checks	5/7/2026	7/2/2026	high
441421	SCA: security update for org.jenkins-ci.plugins:htmlpublisher (GHSA-f8h4-46xv-h7jj)	Tenable Self-Hosted Container Security	SCA Checks	5/7/2026	7/2/2026	high
310885	Jenkins 插件多重漏洞（2026-04-29）	Nessus	CGI abuses	4/29/2026	4/30/2026	critical
310885	Jenkins 插件多重漏洞（2026-04-29）	Nessus	CGI abuses	4/29/2026	4/30/2026	critical
310885	Jenkins プラグイン複数の脆弱性(2026-04-29)	Nessus	CGI abuses	4/29/2026	4/30/2026	critical
310885	Jenkins plugins Multiple Vulnerabilities (2026-04-29)	Nessus	CGI abuses	4/29/2026	4/30/2026	critical

Detections

Analytics

Plugins Search

high

high

critical

critical

critical

critical