关键漏洞信息 存储型XSS漏洞 (SECURITY-3669 / CVE-2026-27099) 严重性（CVSS）: 高 描述: Jenkins 版本 2.550 及更早版本的“Mark temporarily offline”离线原因描述未对用户输入进行转义，导致存储型跨站脚本（XSS）漏洞，可通过具有Agent/Configure或Agent/Disconnect权限的攻击者利用。 缓解措施: Jenkins 2.551 和 LTS 2.541.2 版本对“Mark temporarily offline”离线原因的用户输入描述进行了转义。Jenkins 2.539 及以上版本，包括 LTS 2.541.1，通过强制执行Content Security Policy保护缓解此漏洞。 构建信息泄露漏洞 (SECURITY-3658 / CVE-2026-27100) 严重性（CVSS）: 中 描述: Jenkins 2.550 及更早版本接受指向构建的运行参数值，提交构建的用户如果对此构建没有访问权限会导致信息泄露，允许具有Item/Build和Item/Configure权限的攻击者获取作业、构建的存在情况及指定构建的显示名称。 缓解措施: Jenkins 2.551 和 LTS 2.541.2 拒绝接受指向提交构建的用户没有访问权限的构建的运行参数值。 影响版本 Jenkins Weekly: 2.550 及更早版本 Jenkins LTS: 2.541.1 及更早版本 修复方案 Jenkins Weekly: 升级至 2.551 版本 Jenkins LTS: 升级至 2.541.2 版本 致谢 SECURITY-3669: 感谢 Muhammed Niazy (Wolfman) 的报告 SECURITY-3658: 感谢 Suman Roy 的报告