Компанія Atlassian виявила критичну вразливість у восьми своїх продуктах лінійки Data Center, які клієнти розгортають на власних серверах. Помилка дозволяє зловмисникам без жодної авторизації читати специфічні файли в кореневому каталозі вебзастосунків.
Компанія Atlassian виявила критичну вразливість у восьми своїх продуктах лінійки Data Center, які клієнти розгортають на власних серверах. Помилка дозволяє зловмисникам без жодної авторизації читати специфічні файли в кореневому каталозі вебзастосунків.
Про загрозу йдеться в офіційному блозі компанії. Уразливість отримала ідентифікатор CVE-2026-21589 та високий рівень небезпеки — 9,3 бала з 10 можливих за шкалою CVSS.
Помилка типу path traversal (вихід за межі каталогу) вимагає від хакера знання точного імені та шляху до файлу, оскільки переглянути весь вміст директорії неможливо. Проте, зазначають розробники, у певних конфігураціях коренева тека вебзастосунку може містити конфіденційні дані, що суттєво підвищує ризики компрометації. Серед вразливих продуктів опинилися популярні інструменти для розробки та управління проєктами: Bitbucket, Confluence, Jira Software, Jira Service Management, Bamboo, Crowd, Crucible та Fisheye.
Хмарні версії цих сервісів уже отримали відповідні патчі, тому клієнтам Atlassian Cloud додаткових дій вживати не потрібно. Натомість адміністраторам self-hosted інстансів компанія настійно рекомендує якнайшвидше оновитися до виправлених версій. Якщо миттєвий апдейт неможливий, фахівці радять ізолювати сервери від публічного інтернету або застосувати тимчасові правила блокування на рівні фаєрволу (WAF) чи конфігурацій Tomcat.
Достеменно невідомо, чи встигли хакери скористатися цією помилкою на практиці.
«Atlassian не може підтвердити, чи були ваші інстанси скомпрометовані через цю вразливість», — попереджають у компанії.
Командам безпеки рекомендують самостійно перевірити логи доступу на наявність специфічних URL-запитів, що містять символи переходу між каталогами.
