关键信息 漏洞详情 SECURITY-105: Jenkins XML API 使用 XStream 反序列化任意内容，受 CVE-2013-7285 影响，可能导致恶意用户执行任意代码。 SECURITY-76 & SECURITY-88 / CVE-2013-5573: HTML 标签限制过于宽松，使用户可能被欺骗提供敏感信息。 SECURITY-109: 修复 SECURITY-55 漏洞时引入新问题，恶意用户可配置作业以触发无权限访问的其他作业。 SECURITY-108: CI 作业创建存在目录遍历漏洞，可能覆盖文件并提升权限。 SECURITY-106: 内嵌 Winstone Servlet 容器易受会话挟持攻击。 SECURITY-93: Jenkins UI 中密码参数明文显示，敏感参数默认值可能暴露。 SECURITY-89: 删除用户时未使 API token 失效，允许非法访问。 SECURITY-80: Jenkins UI 易受点击劫持攻击。 SECURITY-79: Jenkins 自建用户数据库暴露用户存在 / 缺失信息。 SECURITY-77: 存在跨站脚本漏洞，若攻击者可覆盖 Jenkins cookies，则可被利用。 SECURITY-75: 会话固定攻击风险，同上条件可被利用。 SECURITY-74: 存储型 XSS 漏洞，可存储任意 HTML 片段。 SECURITY-73: 系统诊断功能权限检查较弱，有限情况下信息可能泄露。 漏洞严重性 High: SECURITY-106, SECURITY-80, SECURITY-105, SECURITY-109, SECURITY-108, SECURITY-74。 Medium: SECURITY-76, SECURITY-88, SECURITY-89。 Low: SECURITY-93, SECURITY-79, SECURITY-77, SECURITY-75, SECURITY-73。 修复方法 主线用户 应升级至 Jenkins 1.551。 LTS 用户 应升级至 1.532.2。 其他资源 CloudBees 的安全公告 关于 Jenkins Enterprise。