自己報告によるバージョン番号によると、リモートウェブサーバー上で実行されているバージョンの Jenkins プラグインは、次の複数の脆弱性の影響を受けます。

  - Jenkins Applitools Eyes プラグイン 1.16.5 以前は、暗号化されていない Applitools API キーを Jenkins コントローラー上のジョブ config.xml ファイルに保存するため、Jenkins コントローラーファイルシステムへの Item/Extended 読み取り権限またはアクセス権を持っているユーザーが表示する可能性があります。(CVE-2025-53742)

  - Jenkins Applitools Eyes プラグイン 1.16.5 以前は、ビルドページの Applitools URL をエスケープしません。そのため、蓄積型クロスサイトスクリプティング (XSS) の脆弱性があり、Item/Configure アクセス許可を持つ攻撃者がこれを悪用する可能性があります。(CVE-2025-53658)

  - Jenkins Credentials Binding プラグイン 687.v619cb_15e923f 以前では、ビルドログに書き込まれる例外エラーメッセージに存在する認証情報を適切にマスクしません (つまり、アスタリスクで置き換えません)。
    (CVE-2025-53650)

  - Jenkins HTML Publisher プラグイン 425 以前では、Publish HTML レポートのビルド後の手順中にアーカイブされたファイルの絶対パスを含むログメッセージが表示され、ビルドログの Jenkins コントローラーファイルシステムに関する情報が漏洩する可能性があります。(CVE-2025-53651)

  - Jenkins Git Parameter プラグイン 439.vb_0e46ca_14534 以前は、ビルドに送信される Git パラメーター値が提供される選択肢の 1 つと一致することを検証しません。これにより、Item/Build 権限を持つ攻撃者が任意の値を Git パラメーターに注入する可能性があります。(CVE-2025-53652)

  - Jenkins Aqua Security Scanner プラグイン 3.2.8 以前では、暗号化されていない Scanner Tokens for Aqua API を Jenkins コントローラー上のジョブ config.xml ファイルに保存するため、Jenkins コントローラーファイルシステムへの Item/Extended 読み取り権限またはアクセス権を持っているユーザーが表示する可能性があります。(CVE-2025-53653)

  - Jenkins Statistics Gatherer プラグイン 2.0.3 以前では、AWS 秘密鍵は暗号化されていない状態で Jenkins コントローラーのグローバル設定ファイルに保存され、Jenkins コントローラーファイルシステムへのアクセス権を持つユーザーが表示できます。(CVE-2025-53654)

  - Jenkins Statistics Gatherer プラグイン 2.0.3 以前は、グローバル設定フォームの AWS 秘密鍵をマスクしないため、攻撃者がこれを観察およびキャプチャする可能性が高くなります。(CVE-2025-53655)

  - Jenkins ReadyAPI Functional Testing プラグイン 1.11 以前では、SLM ライセンスアクセスキー、クライアントの秘密、およびパスワードは暗号化されていない状態で Jenkins コントローラーのジョブの config.xml ファイルに保存されているため、Jenkins コントローラーファイルシステムへの Item/Extended 読み取り権限またはアクセス権を持つユーザーが表示できます。
    (CVE-2025-53656)

  - Jenkins ReadyAPI Functional Testing プラグイン 1.11 以前では、ジョブ設定フォームに表示される SLM ライセンスアクセスキー、クライアントの秘密、およびパスワードをマスクしないため、攻撃者がそれらを観察およびキャプチャする可能性が高くなります。(CVE-2025-53657)

  - Jenkins Applitools Eyes プラグイン 1.16.5 以前では、ジョブ設定フォームに表示される Applitools API キーがマスクされないため、攻撃者がそれらを観察して取得する可能性が高くなります。(CVE-2025-53743)

  - Jenkins QMetry Test Management プラグイン 1.13 以前は、暗号化されていない Qmetry Automation API キーを Jenkins コントローラー上のジョブ config.xml ファイルに保存するため、Jenkins コントローラーファイルシステムへの Item/Extended 読み取り権限またはアクセス権を持っているユーザーが表示する可能性があります。(CVE-2025-53659)

  - Jenkins QMetry Test Management プラグイン 1.13 以前では、ジョブ設定フォームに表示される Qmetry Automation API キーがマスクされないため、攻撃者がそれらを観察して取得する可能性が高くなります。
    (CVE-2025-53660)

  - Jenkins Testsigma Test Plan run プラグイン 1.6 以前では、ジョブ設定フォームに表示される Testsigma API キーがマスクされないため、攻撃者がそれらを観察して取得する可能性が高くなります。
    (CVE-2025-53661)

  - Jenkins IFTTT Build Notifier プラグイン 1.2 以前は、暗号化されていない IFTTT Maker Channel キーを Jenkins コントローラー上のジョブ config.xml ファイルに保存するため、Jenkins コントローラーファイルシステムへの Item/Extended 読み取り権限またはアクセス権を持っているユーザーが表示する可能性があります。(CVE-2025-53662)

  - Jenkins IBM Cloud DevOps プラグイン 2.0.16 以前では、暗号化されていない SonarQube 認証トークンを Jenkins コントローラー上のジョブ config.xml ファイルに保存するため、Jenkins コントローラーファイルシステムへの Item/Extended 読み取り権限またはアクセス権を持っているユーザーが表示する可能性があります。(CVE-2025-53663)

  - Jenkins Apica Loadtest プラグイン 1.10 以前では、暗号化されていない Apica Loadtest LTP 認証トークンを Jenkins コントローラー上のジョブ config.xml ファイルに保存するため、Jenkins コントローラーファイルシステムへの Item/Extended 読み取り権限またはアクセス権を持っているユーザーが表示する可能性があります。(CVE-2025-53664)

  - Jenkins Apica Loadtest プラグイン 1.10 以前では、ジョブ設定フォームに表示される Apica Loadtest LTP 認証トークンをマスクしないため、攻撃者がこれを観察およびキャプチャする可能性が高くなります。(CVE-2025-53665)

  - Jenkins Dead Man's Snitch プラグイン 0.1 以前では、暗号化されていない Dead Man's Snitch トークンを Jenkins コントローラー上のジョブ config.xml ファイルに保存するため、Jenkins コントローラーファイルシステムへの Item/Extended 読み取り権限またはアクセス権を持っているユーザーが表示する可能性があります。(CVE-2025-53666)

  - Jenkins Dead Man's Snitch プラグイン 0.1 以前では、ジョブ設定フォームに表示される Dead Man's Snitch トークンをマスクしないため、攻撃者がこれを観察およびキャプチャする可能性が高くなります。(CVE-2025-53667)

  - Jenkins VAddy プラグイン 1.2.8 以前は、暗号化されていない Vaddy API Auth キーを Jenkins コントローラー上のジョブ config.xml ファイルに保存するため、Jenkins コントローラーファイルシステムへの Item/Extended 読み取り権限またはアクセス権を持っているユーザーが表示する可能性があります。(CVE-2025-53668)

  - Jenkins VAddy Eyes プラグイン 1.2.8 以前では、ジョブ設定フォームに表示される Vaddy API Auth キーがマスクされないため、攻撃者がそれらを観察して取得する可能性が高くなります。(CVE-2025-53669)

  - Jenkins Nouvola DiveCloud プラグイン 1.08 以前は、暗号化されていない DiveCloud API キーを Jenkins コントローラー上のジョブ config.xml ファイルに保存するため、Jenkins コントローラーファイルシステムへの Item/Extended 読み取り権限またはアクセス権を持っているユーザーが表示する可能性があります。(CVE-2025-53670)

  - Jenkins Nouvola DiveCloud プラグイン 1.08 以前では、ジョブ設定フォームに表示される DiveCloud API キーおよび認証情報暗号化キーがマスクされないため、攻撃者がそれらを観察して取得する可能性が高くなります。(CVE-2025-53671)

  - Jenkins Kryptowire プラグイン 0.2 以前では、Kryptowire API キーは暗号化されていない状態で Jenkins コントローラーのグローバル設定ファイルに保存され、Jenkins コントローラーファイルシステムへのアクセス権を持つユーザーが表示できます。(CVE-2025-53672)

  - Jenkins Sensedia Api Platform ツールプラグイン 1.0 以前では、Sensedia API Manager 統合トークンは暗号化されていない状態で Jenkins コントローラーのグローバル設定ファイルに保存され、Jenkins コントローラーファイルシステムへのアクセス権を持つユーザーが表示できます。(CVE-2025-53673)

  - Jenkins Sensedia Api Platform ツールプラグイン 1.0 は、グローバル設定フォームの Sensedia API Manager 統合トークンをマスクしないため、攻撃者がこれを観察および取得する可能性が高まります。
    (CVE-2025-53674)

  - Jenkins Warrior Framework プラグイン 1.2 以前では、パスワードは暗号化されていない状態で Jenkins コントローラーのジョブの config.xml ファイルに保存されているため、Jenkins コントローラーファイルシステムへの Extended Read アクセス許可またはアクセス権を持つユーザーが表示できます。(CVE-2025-53675)

  - Jenkins Xooa プラグイン 0.0.7 以前では、Xooa Deployment トークンは暗号化されていない状態で Jenkins コントローラーのグローバル設定ファイルに保存され、Jenkins コントローラーファイルシステムへのアクセス権を持つユーザーが表示できます。(CVE-2025-53676)

  - Jenkins Xooa プラグイン 0.0.7 以前は、グローバル設定フォームの Xooa Deployment トークンをマスクしないため、攻撃者がこれを観察およびキャプチャする可能性が高くなります。(CVE-2025-53677)

  - Jenkins User1st uTester プラグイン 1.1 以前では、uTester JWT トークンは暗号化されていない状態で Jenkins コントローラーのグローバル設定ファイルに保存され、Jenkins コントローラーファイルシステムへのアクセス権を持つユーザーが表示できます。(CVE-2025-53678)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

検出

Jenkins プラグインの複数の脆弱性 (2025 年 7 月 9 日)

medium Nessus プラグイン ID 241693

バージョン 1.1