According to their self-reported version numbers, the versions of Jenkins plugins running on the remote web server are Jenkins Build With Parameters Plugin prior to 1.5.1, Cloud Statistics Plugin prior to 0.27, Extra Columns Plugin prior to 1.23, Jabber (XMPP) notifier and control Plugin prior to 1.42, OWASP Dependency-Track Plugin prior to 3.1.1, REST List Parameter Plugin prior to 1.3.1, or Team Foundation Server Plugin 5.157.1 or earlier. They are, therefore, affected by multiple vulnerabilities:

  - Jenkins Build With Parameters Plugin 1.5 and earlier does not escape parameter names and descriptions,     resulting in a stored cross-site scripting (XSS) vulnerability exploitable by attackers with Job/Configure     permission. (CVE-2021-21628)

  - A cross-site request forgery (CSRF) vulnerability in Jenkins Build With Parameters Plugin 1.5 and earlier     allows attackers to build a project with attacker-specified parameters. (CVE-2021-21629)

  - Jenkins Extra Columns Plugin 1.22 and earlier does not escape parameter values in the build parameters     column, resulting in a stored cross-site scripting (XSS) vulnerability exploitable by attackers with     Job/Configure permission. (CVE-2021-21630)

  - Jenkins Cloud Statistics Plugin 0.26 and earlier does not perform a permission check in an HTTP endpoint,     allowing attackers with Overall/Read permission and knowledge of random activity IDs to view related     provisioning exception error messages. (CVE-2021-21631)

  - A missing permission check in Jenkins OWASP Dependency-Track Plugin 3.1.0 and earlier allows attackers     with Overall/Read permission to connect to an attacker-specified URL, capturing credentials stored in     Jenkins. (CVE-2021-21632)

  - A cross-site request forgery (CSRF) vulnerability in Jenkins OWASP Dependency-Track Plugin 3.1.0 and     earlier allows attackers to connect to an attacker-specified URL, capturing credentials stored in Jenkins.
    (CVE-2021-21633)

  - Jenkins Jabber (XMPP) notifier and control Plugin 1.41 and earlier stores passwords unencrypted in its     global configuration file on the Jenkins controller where they can be viewed by users with access to the     Jenkins controller file system. (CVE-2021-21634)

  - Jenkins REST List Parameter Plugin 1.3.0 and earlier does not escape a parameter name reference in     embedded JavaScript, resulting in a stored cross-site scripting (XSS) vulnerability exploitable by     attackers with Job/Configure permission. (CVE-2021-21635)

  - A missing permission check in Jenkins Team Foundation Server Plugin 5.157.1 and earlier allows attackers     with Overall/Read permission to enumerate credentials ID of credentials stored in Jenkins.
    (CVE-2021-21636)

  - A missing permission check in Jenkins Team Foundation Server Plugin 5.157.1 and earlier allows attackers     with Overall/Read permission to connect to an attacker-specified URL using attacker-specified credentials     IDs obtained through another method, capturing credentials stored in Jenkins. (CVE-2021-21637)

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

自己報告されたバージョン番号によると、リモート Web サーバーで実行されている Jenkins プラグインのバージョンは、1.5.1 より前の Jenkins Build With Parameters プラグイン、0.27 より前の Cloud Statistics プラグイン、1.23 より前の Extra Columns プラグイン、1.42 より前の Jabber (XMPP) 通知機能およびコントロールプラグイン、3.1.1 より前の OWASP Dependency-Track プラグイン、1.3.1 より前の REST List Parameter プラグイン、または 5.157.1 以前の Team Foundation Server プラグインです。したがって、複数の脆弱性による影響を受けます。

  - Jenkins Build With Parameters プラグイン 1.5 およびそれ以前は、パラメーター名と説明をエスケープしません。そのため、蓄積型クロスサイトスクリプティング (XSS) の脆弱性があり、ジョブ/構成権限を持つ攻撃者がこれを悪用する可能性があります。(CVE-2021-21628)

  - Jenkins Build With Parameters プラグイン 1.5 以前に存在するクロスサイトリクエスト偽造 (CSRF) の脆弱性により、攻撃者が指定するパラメーターを使ってプロジェクトをビルドする可能性があります。(CVE-2021-21629)

  - Jenkins Extra Columns プラグイン 1.22 およびそれ以前は、ビルドパラメーター列内のパラメーター値をエスケープしません。そのため、蓄積型クロスサイトスクリプティング (XSS) の脆弱性があり、ジョブ/構成権限を持つ攻撃者がこれを悪用する可能性があります。(CVE-2021-21630)

  - Jenkins Cloud Statistics プラグイン 0.26 以前では、HTTP エンドポイントで権限チェックを実行しないため、Overall/Read 権限とランダムなアクティビティ ID の知識を持つ攻撃者が、関連するプロビジョニング例外エラーメッセージを表示する可能性があります。(CVE-2021-21631)

  - Jenkins OWASP Dependency-Track プラグイン 3.1.0 以前で権限チェックが欠落しているため、Overall/Read 権限を持つ攻撃者が攻撃者指定の URL に接続し、Jenkins に保存されている認証情報を取得する可能性があります。(CVE-2021-21632)

  - Jenkins OWASP Dependency-Track プラグイン 3.1.0 以前に存在するクロスサイトリクエスト偽造 (CSRF) の脆弱性のため、Overall/Read 権限を持つ攻撃者が攻撃者指定の URL に接続し、Jenkins に保存されている認証情報を取得する可能性があります。
    (CVE-2021-21633)

  - Jenkins Jabber (XMPP) 通知機能およびコントロールプラグイン 1.41 以前では、パスワードは暗号化されていない状態で Jenkins コントローラーのグローバル構成ファイルに保存され、Jenkins コントローラーファイルシステムへのアクセス権を持つユーザーが表示できます。(CVE-2021-21634)

  - Jenkins REST List Parameter プラグイン 1.3.0 およびそれ以前は、組み込み JavaScript 内のパラメーター名参照をエスケープしません。そのため、蓄積型クロスサイトスクリプティング (XSS) の脆弱性があり、ジョブ/構成権限を持つ攻撃者がこれを悪用する可能性があります。(CVE-2021-21635)

  - Jenkins Team Foundation Server プラグイン 5.157.1 以前には権限チェックがないため、Overall/Read 権限を持つ攻撃者が、Jenkins に保存されている認証情報の認証情報 ID を列挙する可能性があります。
    (CVE-2021-21636)

  - Jenkins Team Foundation Server プラグイン 5.157.1 以前では権限チェックが欠落しているため、Overall/Read 権限を持つ攻撃者が、他の方法によって取得した攻撃者指定の認証情報 ID を使って攻撃者指定の URL に接続し、Jenkins に保存されている認証情報を取得する可能性があります。(CVE-2021-21637)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ頼っています。

根據其自我報告的版本號碼，遠端 Web 伺服器上執行的 Jenkins 外掛程式版本為 1.5.1 版之前的 Jenkins Build with Parameters Plugin、0.27 版之前的 Cloud Statistics Plugin、1.23 版之前的 Extra Columns Plugin、1.42 版之前的 Jabber (XMPP) notifier and control Plugin、3.1.1 版之前的 OWASP Dependency-Track Plugin、1.3.1 版之前的 REST List Parameter Plugin，或 Team Foundation Server Plugin 5.157.1 或更早版本。因此，會受到多個弱點影響：

  - Jenkins Build with Parameters Plugin 1.5 及更早版本不會逸出參數名稱和描述，導致具有 Job/Configure 權限的攻擊者可惡意利用已儲存的跨網站指令碼 (XSS) 弱點。(CVE-2021-21628)

  - Jenkins Build with Parameters Plugin 1.5 及更早版本中存在一個跨網站要求偽造 (CSRF) 弱點，允許攻擊者使用攻擊者指定的參數來建置專案。(CVE-2021-21629)

  - Jenkins Build with Parameters Plugin 1.22 及更早版本不會逸出參數名稱和描述，導致具有「工作/設定」權限的攻擊者可惡意利用已儲存的跨網站指令碼 (XSS) 弱點。(CVE-2021-21630)

  - Jenkins Cloud Statistics Plugin 0.26 及更早版本未在 HTTP 端點中執行權限檢查，進而允許具有「整體/讀取」權限且知道隨機活動 ID 的攻擊者檢視相關的佈建例外狀況錯誤訊息。(CVE-2021-21631)

  - Jenkins OWASP Dependency-Track Plugin 3.1.0 及更早版本中缺少權限檢查，允許具有整體/讀取權限的攻擊者連線至攻擊者指定的 URL，進而擷取儲存在 Jenkins 中的憑證。(CVE-2021-21632)

  - Jenkins OWASP Dependency-Track Plugin 3.1.0 及更早版本中存在跨網站要求偽造 (CSRF) 弱點，攻擊者可以藉此連線至攻擊者指定的 URL，進而擷取儲存在 Jenkins 中的憑證。
    (CVE-2021-21633)

  - Jenkins Jabber (XMPP) notifier and control Plugin 1.41 及更早版本將未加密的密碼儲存在 Jenkins 控制器上的全域組態檔案中，而這些密碼可由具有 Jenkins 控制器檔案系統存取權的使用者檢視。(CVE-2021-21634)

  - Jenkins REST List Parameter Plugin 1.3.0 及更早版本不會逸出嵌入式 JavaScript 中的參數名稱引用，導致具有 Job/Configure 權限的攻擊者可惡意利用已儲存的跨網站指令碼 (XSS) 弱點。(CVE-2021-21635)

  - Jenkins Team Foundation Server Plugin 5.157.1 及更早版本中缺少權限檢查，允許具有「整體/讀取」權限的攻擊者列舉 Jenkins 中儲存憑證的憑證 ID。
    (CVE-2021-21636)

  - Jenkins Team Foundation Server Plugin 5.157.1 及更早版本中缺少權限檢查，允許具有「整體/讀取」權限的攻擊者使用透過另一種方法取得的攻擊者指定憑證 ID，連線至攻擊者指定的 URL，進而擷取儲存在 Jenkins 中的憑證。(CVE-2021-21637)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼。

根据其自我报告的版本号，远程 Web 服务器上运行的 Jenkins 插件版本为低于 1.5.1 的 Jenkins Build With Parameters Plugin、低于 0.27 的 Cloud Statistics Plugin、低于 1.23 的 Extra Columns Plugin、低于 1.42 的 Jabber (XMPP) notifier and control Plugin、低于 3.1.1 的 OWASP Dependency-Track Plugin、低于 1.3.1 的 REST List Parameter Plugin 或者 Team Foundation Server Plugin 5.157.1 或更低版本。因此受到多个漏洞影响：

  - Jenkins Build With Parameters Plugin 1.5 及更低版本未对参数名称和描述转义，导致存在存储型跨站脚本 (XSS) 漏洞，具有“作业/配置”权限的攻击者可利用此漏洞。(CVE-2021-21628)

  - Jenkins Build With Parameters Plugin 1.5 及更低版本中存在跨站请求伪造 (CSRF) 漏洞，攻击者可利用此漏洞，使用攻击者指定的参数构建项目。(CVE-2021-21629)

  - Jenkins Extra Columns Plugin 1.22 及更低版本未对构建参数列中的参数值转义，导致存在存储型跨站脚本 (XSS) 漏洞，具有“作业/配置”权限的攻击者可利用此漏洞。(CVE-2021-21630)

  - Jenkins Cloud Statistics Plugin 0.26 及更低版本未在 HTTP 端点中执行权限检查，具有“整体/读取”权限且知道随机活动 ID 的攻击者可利用此漏洞，查看相关配置异常错误消息。(CVE-2021-21631)

  - Jenkins OWASP Dependency-Track Plugin 3.1.0 及更低版本中缺少权限检查，具有“整体/读取”权限的攻击者可利用此漏洞，连接到攻击者指定的 URL，从而捕获 Jenkins 中存储的凭据。(CVE-2021-21632)

  - Jenkins OWASP Dependency-Track Plugin 3.1.0 及更低版本中存在跨站请求伪造 (CSRF) 漏洞，攻击者可利用此漏洞，连接到攻击者指定的 URL，从而捕获 Jenkins 中存储的凭据。
    (CVE-2021-21633)

  - Jenkins Jabber (XMPP) notifier and control Plugin 1.41 及更低版本将其全局配置文件中未加密的密码存储在 Jenkins 控制器上，具有 Jenkins 控制器文件系统访问权限的用户可在此查看这些密码。(CVE-2021-21634)

  - Jenkins REST List Parameter Plugin 1.3.0 及更低版本未对嵌入式 JavaScript 中的参数名称引用转义，导致存在存储型跨站脚本 (XSS) 漏洞，具有“作业/配置”权限的攻击者可利用此漏洞。(CVE-2021-21635)

  - Jenkins Team Foundation Server Plugin 5.157.1 及更低版本中缺少权限检查，具有“整体/读取”权限的攻击者可利用此漏洞，枚举 Jenkins 中存储的凭据的凭据 ID。
    (CVE-2021-21636)

  - Jenkins Team Foundation Server Plugin 5.157.1 及更低版本中缺少权限检查，具有“整体/读取”权限的攻击者可利用此漏洞，使用通过其他方法获取的攻击者指定凭据 ID，连接到攻击者指定的 URL，从而捕获 Jenkins 中存储的凭据。(CVE-2021-21637)

请注意，Nessus 尚未测试这些问题，而是只依靠应用程序自我报告的版本号。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
155735	Jenkins Plugins Multiple Vulnerabilities (Jenkins Security Advisory 2021-03-30)	Nessus	CGI abuses	2021/11/30	2024/6/5	high
155735	Jenkins プラグインの複数の脆弱性 (Jenkins セキュリティアドバイザリ 2021 年 3 月 30 日)	Nessus	CGI abuses	2021/11/30	2024/6/5	high
155735	Jenkins 外掛程式多個弱點 (Jenkins 安全公告 2021-03-30)	Nessus	CGI abuses	2021/11/30	2024/6/5	high
155735	Jenkins 插件多个漏洞（Jenkins 安全公告 2021-03-30）	Nessus	CGI abuses	2021/11/30	2024/6/5	high

検出

プラグインの検索

high

high

high

high