关键漏洞信息 漏洞概述 公告日期: 2025-04-02 影响的Jenkins版本: - Jenkins (core) - AsakusaSatellite Plugin - Cadence vManager Plugin - monitor-remote-job Plugin - Simple Queue Plugin - Stack Hammer Plugin - Templating Engine Plugin 漏洞详情 1. Missing permission check allows retrieving agent configurations - CVE: SECURITY-3512 / CVE-2025-31720 - 严重性: Medium - 描述: Jenkins 2.503及更早版本，LTS 2.492.2及更早版本在HTTP端点上未执行权限检查。这允许具有Agent/Create权限但没有Agent/Extended Read权限的攻击者复制代理，从而访问其配置。 2. Missing permission check allows retrieving secrets from agent configurations - CVE: SECURITY-3513 / CVE-2025-31721 - 严重性: Medium - 描述: Jenkins 2.503及更早版本，LTS 2.492.2及更早版本在HTTP端点上未执行权限检查。这允许具有Agent/Create权限但没有Agent/Configure权限的攻击者复制包含秘密的代理。 3. Script Security sandbox bypass vulnerability through folder-scoped libraries in Templating Engine Plugin - CVE: SECURITY-3505 / CVE-2025-31722 - 严重性: High - 受影响插件: templating-engine - 描述: 在Templating Engine Plugin 2.5.3及更早版本中，定义在文件夹中的库不受沙箱保护。这允许具有Item/Configure权限的攻击者执行任意代码。 4. CSRF vulnerability in Simple Queue Plugin - CVE: SECURITY-3469 / CVE-2025-31723 - 严重性: Medium - 受影响插件: simple-queue - 描述: Simple Queue Plugin 1.4.6及更早版本不要求POST请求以处理多个HTTP端点，导致跨站请求伪造（CSRF）漏洞。 5. API keys stored in plain text by Cadence vManager Plugin - CVE: SECURITY-3537 / CVE-2025-31724 - 严重性: Medium - 受影响插件: vmanager-plugin - 描述: Cadence vManager Plugin 4.0.0-282.v5096a_c2db_275及更早版本将Verisium Manager vAPI密钥以明文形式存储在job config.xml文件中。 6. Passwords stored in plain text by monitor-remote-job Plugin - CVE: SECURITY-3539 / CVE-2025-31725 - 严重性: Medium - 受影响插件: monitor-remote-job - 描述: monitor-remote-job Plugin 1.0将密码以明文形式存储在job config.xml文件中。 7. API keys stored in plain text by Stack Hammer Plugin - CVE: SECURITY-3520 / CVE-2025-31726 - 严重性: Medium - 受影响插件: stackhammer - 描述: Stack Hammer Plugin 1.0.0及更早版本将Stack Hammer API密钥以明文形式存储在job config.xml文件中。 8. API keys stored and displayed in plain text by AsakusaSatellite Plugin - CVE: SECURITY-3523 / CVE-2025-31727 (storage), CVE-2025-31728 (masking) - 严重性: Medium - 受影响插件: asakusa-satellite-plugin - 描述: AsakusaSatellite Plugin 0.1.1及更早版本将AsakusaSatellite API密钥以明文形式存储在job config.xml文件中，并且作业配置表单不屏蔽这些API密钥。 修复建议 Jenkins weekly应更新到版本2.504。 Jenkins LTS应更新到版本2.492.3。 Cadence vManager Plugin应更新到版本4.0.1-286.v9e25a_740b_a_48。 Simple Queue Plugin应更新到版本1.4.7。 Templating Engine Plugin应更新到版本2.5.4。