В Jira и Confluence обнаружили критическую уязвимость

Компания UserGate сообщила о новой критической уязвимости в линейке корпоративных продуктов Atlassian Data Center. Специалисты уже добавили в свои решения uNGFW и uWAF сигнатуры для защиты от эксплуатации дефекта. Об этом SecPost сообщили в компании.

Уязвимость получила идентификатор CVE-2026-21589. Как сообщили в компании, она связана с недостаточной проверкой путей в HTTP-запросах, а ее критичность оценена в 9,3 балла по шкале CVSS 4.0. Эксплуатация дефекта позволяет удаленному злоумышленнику без прохождения аутентификации читать отдельные файлы в корневом каталоге веб-приложения. При этом в UserGate отметили, что уязвимость не позволяет просматривать содержимое каталогов или подбирать имена файлов — для успешной атаки необходимо заранее знать точное имя и путь к целевому документу.

По данным компании, в зону риска попали все версии таких решений, как Jira (Software и Service Management), Confluence, Bitbucket, Bamboo, Crowd, Crucible и Fisheye.

Продолжение ниже

В центре мониторинга и реагирования UserGate рекомендовали администраторам корпоративных сетей в кратчайшие сроки установить обновления безопасности для затронутых продуктов Atlassian. В случае если оперативный апдейт невозможен, пользователям рекомендуется ограничить доступ к уязвимым системам из внешней сети, активировать правила блокировки в профилях защиты uWAF и добавить соответствующую сигнатуру в блокирующее правило системы предотвращения вторжений (IDPS).