ZONE.CI 全球网

Atlassian披露CVE-2026-21589严重漏洞，CVSS评分9.3，影响Confluence、Jira等8款自托管产品。攻击者无需认证即可利用双重URL解码缺陷实现任意文件读取，可能导致凭据泄露和权限提升。建议立即升级至安全版本，或采取网络隔离、WAF过滤等临时缓解措施。

Atlassian多款DataCenter产品存在预认证任意文件读取漏洞CVE-2026-21589，源于共享库路径处理缺陷，攻击者利用双冒号绕过路径规范化，无需认证即可读取WEB-INF下敏感文件，CVSS评分9.3。墨云VackBot已支持检测。建议及时升级至官方修复版本，并排查资产风险。

Atlassian官方修复Jira等八款产品中存在的未认证任意文件读取漏洞CVE-2026-21589，攻击者可利用路径遍历读取webroot内任意文件，在部署Crowd环境中可进一步获取明文凭据并创建管理员账户实现完全接管。该漏洞无需用户权限且已有POC，影响范围广泛，官方已发布修复方案，建议受影响用户尽快升级或采取临时缓解措施。

CVE-2026-21589影响Atlassian全线产品共享库atlassian-plugins-webresource，官方2026年10月5日发布带外公告修复。漏洞源于URL转义顺序颠倒导致路径穿越，可读取webapp内任意文件如web.xml、crowd.properties等敏感配置，实测可整包拖走JAR文件。攻击者还可利用泄露的crowd.properties创建管理员账号接管系统。建议立即升级至修复版本并排查日志。

奇安信CERT发布Atlassian多款产品任意文件读取漏洞CVE-2026-21589通告，该漏洞源于共享库双重URL解码缺陷，未认证攻击者可读取WEB-INF等目录文件，导致配置与凭据泄露，CVSS评分9.3，影响Bitbucket、Confluence、Jira等多款产品，POC已公开。建议受影响用户升级至修复版本，无法立即升级时限制外部网络访问。

CVE-2026-21589是Atlassian多款DataCenter产品共用的WebResource组件中的未认证文件读取漏洞，CVSS9.3。根因是路径规范化后缺少目录边界检查，攻击者可通过双冒号编码穿越至WEB-INF读取配置文件。结合Crowd集成可进一步获取应用凭据，可能升级为身份系统控制。建议优先升级至修复版本，限制公网访问，部署官方正则规则，排查日志并轮换暴露凭据。

Atlassian多款产品存在任意文件读取漏洞CVE-2026-21589，CVSS评分9.3，等级严重，无需认证即可远程利用且PoC已公开。影响Bitbucket、Confluence、Jira、Bamboo、Crowd等DataCenter产品。建议受影响用户尽快升级至修复版本，无法升级时限制公网访问并配置WAF拦截路径遍历请求，同时加强日志审计。

Atlassian多款DataCenter产品存在CVE-2026-21589路径遍历漏洞，未认证攻击者可读取webroot内文件，接入Crowd时可获取明文凭据。官方已发布修复版本，建议优先处置公网暴露实例，升级或启用临时缓解措施，并审计日志排查利用痕迹。

Atlassian发布高危漏洞CVE-2026-21589，影响八款自托管产品，评分9.3，无需认证即可路径穿越读取文件。攻击链可借读取crowd.properties凭证接管管理员，仅Confluence在线实例近70万。建议立即升级补丁或从公网摘除实例，并检查访问日志。

本文由弥天安全实验室发布，成功复现了Atlassian多款产品（包括Jira、Confluence、Bitbucket等）中的任意文件读取漏洞CVE-2026-21589。漏洞源于atlassian-plugins-webresource组件对URL中::转义处理不当，攻击者无需认证即可构造恶意请求绕过路径检查，读取webroot内任意文件，在部署Crowd环境下可进一步获取明文凭据并接管系统。文章列出了受影响版本范围、复现POC及修复建议，建议用户尽快升级补丁并部署安全设备进行防护。

本文分析Atlassian多产品CVE-2026-21589未授权任意文件读取漏洞，影响Jira、Confluence等DataCenter产品全部历史版本，CVSS评分9.3。漏洞源于组件库路径处理缺陷，攻击者可利用…::绕过校验实现目录穿越，读取敏感配置，进而可接管Crowd并实现RCE。建议升级至修复版本或采取WAF拦截等临时缓解措施。

Atlassian数据中心产品存在CVE-2026-21589严重任意文件访问漏洞，CVSS评分9.3，影响Bitbucket、Confluence、Jira等多款产品。该漏洞为路径遍历缺陷，双冒号可被识别为路径分隔符，攻击者可读取Web根目录下敏感文件。漏洞技术细节公开两小时内即遭在野利用，攻击来源为日本和美国。Atlassian已发布修复版本，建议用户将实例从公网下线或配置WAF规则拦截恶意请求。

文章总结： 文章介绍了一种针对WordPress集成Crowdsignal投票功能的存储型XSS漏洞利用方法。通过在投票选项中插入特定的恶意HTML属性代码，当

>Crowd 安全漏洞 Crowd 安全漏洞CNNVD-ID编号CNNVD-202103-039 CVE编号 CVE-2020

>Crowd 安全漏洞 Crowd 安全漏洞CNNVD-ID编号CNNVD-202103-039 CVE编号 CVE-2020

>Atlassian Crowd 跨站请求伪造漏洞 Atlassian Crowd 跨站请求伪造漏洞CNNVD-ID编号CNNVD

>Atlassian Crowd crowd-application插件模块安全漏洞 Atlassian Crowd crowd-

Atlassian Tempo 6.4.3 / JIRA 5.0.0 / Gliffy 3.7.0 - XML Parsing Denial of Servic

中危Atlassian Crowd和Atlassian Jira 授权问题漏洞（CVE-2022-26136）CVE编号
CVE-2022-26136利用情况

中危Atlassian Crowd和Atlassian Jira 访问控制错误漏洞（CVE-2022-26137）CVE编号
CVE-2022-26137利用

漏洞 VulnerabilityCNVD-2020-50916: WPS Office 国际版内存破坏漏洞
https://www.cnvd.org.cn/fl

安全工具 Security ToolsCrowdsec – 一款开源的终端安全检测产品
https://github.com/crowdsecurity/cro

前言
最近，全球领先的网络安全公司 FireEye 疑遭某 APT 组织的攻击，其大量政府客户信息遭越权访问，且红队工具被盗。虽然目前尚不清楚这些红队工具将被如