CVE-2026-21589: الكشف عن الملفات في منتجات Atlassian
أساليب الهجوم وتقنياته2026-10-15, 12:21
قام باحثون في watchTowr Labs بالتحقيق في الثغرة الأمنية الحرجة CVE-2026-21589، التي تؤثر على عدة منتجات Atlassian ذاتية الاستضافة: Jira وConfluence وBitbucket وBamboo وغيرها. نتجت الثغرة عن خطأ في المكتبة المشتركة
atlassian-plugins-webresource، التي تتعامل مع موارد الويب. تسمح الثغرة لمستخدم غير مصادق بقراءة ملفات عشوائية داخل دليل الويب الخاص بالتطبيق.عند معالجة طلبات HTTP، تستبدل المكتبة
/ بـ ::، ثم تعيد فواصل المسار الأصلية. وجد الباحثون أن هذا التطبيع يجعل من الممكن تجاوز التحقق من المسار وحقن تسلسل اجتياز المسار. ونتيجة لذلك، تمكنوا من قراءة ملفات مثل WEB-INF/web.xml عبر نقاط نهاية تحميل الموارد المتاحة خارجيًا. في بعض الإعدادات، قد تحتوي الملفات المتاحة على بيانات اعتماد التكامل وأسرار أخرى. أصدرت Atlassian إصلاحات للمنتجات المتأثرة.يتيح استغلال الثغرة للمهاجم الوصول إلى ملفات التكوين وبيانات المصدر والأسرار المخزنة على خادم التطبيق دون مصادقة. على وجه الخصوص، أظهر الباحثون سلسلة أدت فيها قراءة
crowd.properties إلى كشف كلمة المرور للتكامل مع Atlassian Crowd — نظام إدارة الحسابات المركزي. إذا كان Crowd متاحًا باستخدام بيانات الاعتماد هذه، فقد يتمكن المهاجم من إنشاء مستخدمين وتغيير امتيازاتهم، مما قد يمنحه وصولاً إداريًا إلى Jira.الثغرات
المورّدون
المنتجات