Jenkins LoadNinja Plugin stores LoadNinja API keys unencrypted in job config.xml files

中 4.3CVE-2026-33003 · GHSA-qqjr-hf5h-jx3q · 18/03/2026 公開 · 17/06/2026 更新

要点

CVE-2026-33003 は org.jenkins-ci.plugins:loadninja, loadninja (jenkins) に影響する深刻度「中」 (CVSS 4.3) の脆弱性です。
今後30日間に悪用される確率（EPSS）：0.15%（全脆弱性の 4.0% より高い）。
対処：2.2 以降に更新してください。

パッケージ	影響を受けるバージョン	修正済みバージョン
org.jenkins-ci.plugins:loadninja Maven	`< 2.2`	`2.2`
loadninja jenkins	`< 2.2`	`2.2`

概要

Jenkins LoadNinja Plugin 2.1 and earlier stores LoadNinja API keys unencrypted in job config.xml files on the Jenkins controller where they can be viewed by users with Item/Extended Read permission or access to the Jenkins controller file system.

NVD の説明