[TLP:CLEAR] Atlassian opravuje kriticky závažnou zranitelnost ve svých produktech

Atlassian opravuje kriticky závažnou zranitelnost v různých produktech [1]. Produkty a jejich opravené verze: Bitbucket Data Center - 9.4.26, 10.2.8, 10.5.1 Confluence Data Center - 9.2.26, 10.2.19 Jira Service Management Data Center - 5.12.40, 10.3.26, 11.3.12 Jira Software Data Center - 9.12.40, 10.3.26, 11.3.12 Bamboo Data Center - 10.2.24, 12.1.12 Crowd Data Center - 6.3.7, 7.0.3, 7.1.7, 7.2.4 Crucible - 4.9.15 Fisheye - 4.9.15

Atlassian Bitbucket Data Center, Confluence Data Center, Jira Service Management Data Center, Jira Software Data Center, Bamboo Data Center, Crowd Data Center, Crucible a Fisheye - arbitrary file access (CVE-2026-21589)
CVSS 9.3 (Critical)

Neautentizovanému vzdálenému útočníkovi je za předpokladu znalosti přesného názvu a cesty k cílovému souboru umožněno přistupovat ke specifickým souborům v kořenovém adresáři webové aplikace (bez možnosti enumerace obsahu), což může vést k odhalení citlivých informací [1]

Zranitelnost se nachází v produktech:

  • Bitbucket Data Center ve verzích (>=9.4 AND <9.4.26) OR (>=10.2 AND <10.2.8) OR (>=10.5 AND <10.5.1)
  • Confluence Data Center ve verzích (>=9.2 AND <9.2.26) OR (>=10.0 AND <10.2.19)
  • Jira Service Management Data Center ve verzích (>=5.12 AND <5.12.40) OR (>=10.3 AND <10.3.26) OR (>=11.3 AND <11.3.12)
  • Jira Software Data Center ve verzích (>=9.12 AND <9.12.40) OR (>=10.3 AND <10.3.26) OR (>=11.3 AND <11.3.12)
  • Bamboo Data Center ve verzích (>=10.2 AND <10.2.24) OR (>=12.1 AND <12.1.12)
  • Crowd Data Center ve verzích (>=6.3 AND <6.3.7) OR (>=7.0 AND <7.0.3) OR (>=7.1 AND <7.1.7) OR (>=7.2 AND <7.2.4)
  • Crucible ve verzích >=4.9 AND <4.9.15
  • Fisheye ve verzích >=4.9 AND <4.9.15

CVSS: CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:N/VA:N/SC:H/SI:H/SA:H

Více informací:

Za CESNET-CERTS Táňa Macháčková dne 7. 10. 2026.

CESNET-CERTS Logo