2026-10-16 03:42:14 网络安全文章来源：ZONE.CI 全球网 0 阅读模式

【已复现】CVE-2026-21589 Atlassian Jira 任意文件读取漏洞

原创

易富贤
易富贤

源影安全团队

2026年10月8日 08:43
北京

在小说阅读器读本章

去阅读

在公众号小说中沉浸阅读

影响的产品

CVE-2026-21589 Atlassian Jira 任意文件读取漏洞，这次的问题不在某一个产品，而在 Atlassian 全线产品共享的基础库 atlassian-plugins-webresource。只要内置版本低于修复版 6.0.8,下列产品即受影响：Jira Software Data Center、Jira Service Management、Confluence Data Center、Bitbucket Data Center、Bamboo、集中式身份管理产品 Crowd,以及老旧的 Crucible 与 Fisheye。官方 2026 年 10 月 5 日发布带外公告，给出各产品的固定版本(如 Jira 9.12.40/10.3.26/11.3.12、Confluence 9.2.26/10.2.19 等)，之前的所有版本。

读文件

漏洞代码位于资源下载路由：库用 :: 作为 / 的 URL 转义(escapeSlashes),但先按斜杠分割校验、后还原转义，顺序颠倒导致穿越段 ..:: 在校验时不含斜杠、完全隐身，还原后重组为真实的 ../ 进入文件读取，而旧版 ResourceFactory.createResourceWithRelativePath() 对最终路径不做任何规范化校验。配合一个 location 以斜杠结尾的内置目录型资源(jira.webresources:color-picker-popup 的 images/),payload 形如 ..::..::..::..::..::WEB-INF::web.xml。实测可读取 webapp 内任意文件:web.xml、认证配置 seraph-config.xml、日志配置、crowd.properties,甚至整包拖走 WEB-INF/lib 下数百兆二进制 JAR(MD5 逐字节一致)；普通 ../ 与双重编码会被 Tomcat/应用层正常拦截，唯独 :: 变体畅通。边界是无法逃出 Tomcat context root。

已关注

关注

重播分享赞

关闭

观看更多

退出全屏

切换到竖屏全屏退出全屏

源影安全团队已关注

分享视频

，时长00:18

0/0

00:00/00:18

切换到横屏模式

继续播放

[ ]

进度条，百分之0

播放

00:00

00:18

倍速

全屏

倍速播放中

0.5倍0.75倍1.0倍1.5倍2.0倍

超清流畅

继续观看

【已复现】CVE-2026-21589 Atlassian Jira 任意文件读取漏洞

观看更多

原创

【已复现】CVE-2026-21589 Atlassian Jira 任意文件读取漏洞

源影安全团队已关注

分享点赞在看

已同步到看一看写下你的评论

视频详情

创建管理账户

创建管理用户可以使用 Crowd 自己的管理 API:泄露的 crowd.properties 给出应用名、明文密码与 Crowd 地址，攻击者以此通过 Basic 认证调用 /rest/usermanagement/1——枚举全部用户、POST /user 创建攻击者账号、POST /group/user/direct 把它加入 jira-administrators 与 jira-software-users。由于 Jira 的用户目录已指向 Crowd,新账号随即通过真实的目录连接器登录 Jira。

已关注

关注

重播分享赞

关闭

观看更多

退出全屏

切换到竖屏全屏退出全屏

源影安全团队已关注

分享视频

，时长00:33

0/0

00:00/00:33