根據其自我報告的版本號碼，遠端 Web 伺服器上執行的 Jenkins 是 Jenkins LTS 2.568.3 之前版本或 Jenkins 每週版的 2.580 之前版本。因此，會受到多個弱點影響：

  - 在 Jenkins 2.579 和更早版本、LTS 2.568.2 和更早版本中，無法從還原序列化中排除暫時性欄位，因此攻擊者能夠提交設定更新，以指定將要還原序列化的暫時性欄位的值，影響取決於這些欄位的使用方式。
    (CVE-2026-84650)

  - 在 Stapler 1839.ved17667b_a_eb_5 到 2107.v8dfcb_e8ed317 （含兩者） 中，除了 2088.2093.vd7c3e58008a_6 （包含在 Jenkins 2.447 到 2.579 （兩者包含）、LTS 2.452.1 到 2.568.2 （兩者包含） 中，提供動態產生的 JavaScript 資源的 HTTP 端點會內嵌使用者的跨網站要求偽造 （CSRF） 權杖 （crumb） 作為字串常值，讓攻擊者能夠控制與Jenkins相同網站上託管的頁面，以取得目標使用者會話並代表他們執行動作。（CVE-2026-84649）

  - 在 Jenkins 2.579 和更早版本、LTS 2.568.2 和更早版本中，使用者物件可以在其他還原序列化的 XML 物件中顯示為巢狀欄位值，讓具有「整體/讀取」權限的攻擊者透過提交特製的 XML 來建立使用者物件。（CVE-2026-84646）

  - 在 Jenkins 2.579 和更早版本、LTS 2.568.2 和更早版本中，系統記錄檢視器不會逸出記錄中繼資料 （來源、層級和時間戳記），導致儲存的跨網站指令碼 （XSS） 弱點可供控制代理程式處理程序的攻擊者惡意利用。（CVE-2026-84648）

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

根据其自我报告的版本号，远程 Web 服务器上运行的 Jenkins 版本低于 Jenkins LTS 2.568.3，或低于 Jenkins weekly 2.580。因此，该应用程序受到多个漏洞的影响：

  - 在 Jenkins 2.579 和更早版本、LTS 2.568.2 和更早版本中，无法从反序列化中排除暂时字段，这允许攻击者提交配置更新以指定将要反序列化的暂时字段的值，影响取决于这些字段的使用方式。
    (CVE-2026-84650)

  - 在 Stapler 1839.ved17667b_a_eb_5 到 2107.v8dfcb_e8ed317（含）中（含 2088.2093.vd7c3e58008a_6 除外）包含在 Jenkins 2.447 到 2.579 （含）到 LTS 2.452.12.568.2 （含）中，提供动态生成的 JavaScript 资源的 HTTP 端点将用户的跨站请求伪造 （CSRF） 标记 （crumb） 嵌入字符串文本，允许控制与 Jenkins 在同一站点上托管的页面的攻击者获取目标用户的会话，并代表他们执行操作。（CVE-2026-84649）

  - 在 Jenkins 2.579 及更早版本、LTS 2.568.2 及更早版本中，用户对象可能显示为其他反序列化 XML 对象中的嵌套字段值，从而允许具有 Overall/Read 权限的攻击者通过提交构建的 XML 创建用户对象。（CVE-2026-84646）

  - 在 Jenkins 2.579 及更早版本以及 LTS 2.568.2 及更早版本中，系统日志查看器不会对日志记录元数据（源、级别和时间戳）进行转义，从而导致控制代理进程的攻击者可利用存储的跨站脚本 （XSS） 漏洞。（CVE-2026-84648）

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

自己報告されたバージョン番号によると、リモートの Web サーバーで実行されている Jenkins のバージョンは、2.568.3より前の Jenkins LTS または 2.580より前の Jenkins weekly です。そのため、以下の複数の脆弱性の影響を受けます。

  - Jenkins 2.579 以前、LTS 2.568.2 以前では、一時フィールドを逆シリアル化から除外できないため、攻撃者が構成更新を送信して、逆シリアル化される一時フィールドの値を指定でき、それらのフィールドの使用方法に応じた影響が生じます。
    (CVE-2026-84650)

  - Stapler 1839.ved17667b_a_eb_5 から 2107.v8dfcb_e8ed317(両端を含む)では、Jenkins 2.447 から 2.579 (両端を含む)に含まれる 2088.2093.vd7c3e58008a_6 を除き、LTS 2.452.1 から 2.568.2 (両端を含む)では、動的に生成された JavaScript リソースを提供する HTTP エンドポイントが、ユーザーのクロスサイトリクエスト偽造(CSRF)トークン(crumb)を文字列リテラルとして埋め込み、Jenkins と同じサイトでホストされているページをコントロールできる攻撃者が、ターゲットユーザーのセッションを実行し、そのユーザーに代わってアクションを実行します。(CVE-2026-84649)

  - Jenkins 2.579 以前、LTS 2.568.2 以前では、ユーザーオブジェクトが他の逆シリアル化された XML オブジェクトにネスト化されたフィールド値として表示されることがあります。これにより、Overall/Read 権限のある攻撃者が、細工された XML を送信することでユーザーオブジェクトを作成する可能性があります。(CVE-2026-84646)

  - Jenkins 2.579 以前、LTS 2.568.2 以前では、システムログビューアーはログレコードのメタデータ(ソース、レベル、タイムスタンプ)をエスケープしません。このため、エージェントプロセスをコントロールする攻撃者が蓄積型クロスサイトスクリプティング(XSS)の脆弱性を悪用可能です。(CVE-2026-84648)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

According to its its self-reported version number, the version of Jenkins running on the remote web server is Jenkins LTS prior to 2.568.3 or Jenkins weekly prior to 2.580. It is, therefore, affected by multiple vulnerabilities:

  - In Jenkins 2.579 and earlier, LTS 2.568.2 and earlier, transient fields cannot be excluded from     deserialization, allowing attackers able to submit configuration updates to specify the values of     transient fields that will be deserialized, the impact depending on how those fields are used.
    (CVE-2026-84650)

  - In Stapler 1839.ved17667b_a_eb_5 through 2107.v8dfcb_e8ed317 (both inclusive), except     2088.2093.vd7c3e58008a_6, included in Jenkins 2.447 through 2.579 (both inclusive), LTS 2.452.1 through     2.568.2 (both inclusive), an HTTP endpoint serving dynamically generated JavaScript resources embeds the     user's cross-site request forgery (CSRF) token (crumb) as a string literal, allowing attackers with     control over a page hosted on the same site as Jenkins to obtain a valid crumb for the targeted user's     session and perform actions on their behalf. (CVE-2026-84649)

  - In Jenkins 2.579 and earlier, LTS 2.568.2 and earlier, user objects can appear as nested field values in     other deserialized XML objects, allowing attackers with Overall/Read permission to create user objects by     submitting crafted XML. (CVE-2026-84646)

  - In Jenkins 2.579 and earlier, LTS 2.568.2 and earlier, the system log viewer does not escape log record     metadata (source, level, and timestamp) resulting in a stored cross-site scripting (XSS) vulnerability     exploitable by attackers in control of agent processes. (CVE-2026-84648)

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

The version of FreeBSD installed on the remote host is prior to tested version. It is, therefore, affected by multiple vulnerabilities as referenced in the 102bc631-a6da-11f1-ba21-00e0edd85c6a advisory.

    Jenkins Security Advisory 2026-09-02:

Tenable has extracted the preceding description block directly from the FreeBSD security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

ID	Name	Product	Family	Published	Updated	Severity
342360	Jenkins LTS < 2.568.3/Jenkins 每週版 < 2.580 多個弱點	Nessus	CGI abuses	9/2/2026	9/4/2026	high
342360	Jenkins LTS < 2.568.3 / Jenkins weekly < 2.580 多个漏洞	Nessus	CGI abuses	9/2/2026	9/4/2026	high
342360	Jenkins LTS < 2.568.3 / Jenkins weekly < 2.580 の複数の脆弱性	Nessus	CGI abuses	9/2/2026	9/4/2026	high
342360	Jenkins LTS < 2.568.3 / Jenkins weekly < 2.580 Multiple Vulnerabilities	Nessus	CGI abuses	9/2/2026	9/4/2026	high
342659	FreeBSD : jenkins -- multiple vulnerabilities (102bc631-a6da-11f1-ba21-00e0edd85c6a)	Nessus	FreeBSD Local Security Checks	9/3/2026	9/3/2026	high

Detections

Analytics

Plugins Search

high

high

high

high

high