Атакуващи, които знаят къде да търсят, могат да четат файлове от инсталации на Atlassian Data Center, без да се влиза в системата, предупреди компанията.
Относно CVE-2026-21589
CVE-2026-21589 – критична уязвимост за произволен достъп до файлове с оценка 9.3 по CVSS, засяга всички версии на Bitbucket Data Center, Confluence Data Center, Jira Service Management Data Center, Jira Software Data Center, Bamboo Data Center, Crowd Data Center, Crucible и Fisheye.
Atlassian изчисли оценката по CVSS 4.0 чрез вътрешна оценка и публикува бюлетина за сигурност на 5 октомври 2026 г.
„Тази уязвимост за произволен достъп до файлове позволява на неавтентифициран атакуващ да получи достъп до конкретни файлове в основната директория на уеб приложението в засегнатите версии“, се казва в бюлетина.
„При някои конфигурации може да са налични поверителни файлове, които повишават риска за вас“, отбелязват от Atlassian.
От позитивна страна, атакуващият трябва да знае точното име и път до целевия файл, за да се възползва от уязвимостта, и не може да я използва за изброяване или преглед на съдържанието на директориите. Според компанията засегнатите облачни продукти са коригирани, нейното разследване не е открило доказателства за злонамерена експлоатация и на клиентите, които ги използват, не се налага да предприемат никакви действия.
Корекции за сигурност и временни мерки за ограничаване
Atlassian призовава администраторите незабавно да актуализират всяка засегната инсталация до коригирана версия или до най-новата версия. Коригираните версии са:
- Bitbucket Data Center 9.4.26, 10.2.8 и 10.5.1
- Confluence Data Center 9.2.26 и 10.2.19
- Jira Software Data Center и Jira Service Management Data Center 10.3.26 и 11.3.12 (също 9.12.40 за Jira Software и 5.12.40 за Jira Service Management)
- Bamboo Data Center 10.2.24 и 12.1.12
- Crowd Data Center 6.3.7, 7.0.3, 7.1.7 и 7.2.4
- Crucible и Fisheye 4.9.15
Atlassian препоръчва засегнатите екземпляри да бъдат премахнати от интернет, ако това е възможно.
„Екземплярите, достъпни от публичния интернет, включително тези с потребителска автентификация, трябва да бъдат ограничени от достъп от външни мрежи, докато предприемете действия.“
Компанията публикува и три временни мерки за ограничаване на риска.
Atlassian не може да потвърди дали екземплярите на клиентите са били засегнати и ги съветва техните екипи по сигурност да проверят всички засегнати инсталации за доказателства за компрометиране.
В бюлетина не се споменава дали дефектът е бил експлоатиран срещу инсталации на Data Center, нито кой го е открил.