CVE-2026-21589

اسم البرنامج المصاب والإصدارات المتأثرة Bitbucket Data Center الإصدارات من 4.6.0 إلى 9.4.25، و 10.2.7، و 10.5.0 Confluence Data Center الإصدارات من 5.10.0 إلى 9.2.25 و 10.2.18 Crowd Data Center الإصدارات من 2.11.0 إلى 6.3.6، و 7.0.2، و 7.1.6، و 7.2.3 Jira Software Data Center الإصدارات من 7.1.0 إلى 9.12.39، و 10.3.25، و 11.3.11 Jira Service Management Data Center الإصدارات من 3.1.0 إلى 5.12.39، و 10.3.25، و 11.3.11 Bamboo Data Center الإصدارات من 7.0.1 إلى 10.2.23 و 12.1.11 Crucible الإصدارات السابقة لـ 4.9.15 Fisheye الإصدارات السابقة لـ 4.9.15

الوصف توجد ثغرة وصول عشوائي إلى الملفات في العديد من منتجات Atlassian Data Center بسبب معالجة غير صحيحة للمسارات في مكتبة atlassian-plugins-webresource المشتركة. يمكن لمهاجم عن بُعد غير مصرح له الوصول إلى ملفات محددة داخل دليل الجذر لتطبيق الويب باستخدام حمولة تخطي المسار (path traversal) باستخدام المحدد :: بدلاً من التسلسل القياسي ../. يتجاوز هذا الإجراء عملية تطبيع URI في Tomcat لأن التطبيق يقوم بجولة ثانية من فك ترميز URL، ثم يقوم بتحويل :: إلى شرطات مائلة أمامية عبر دالة unescapeSlashes(). تتطلب الاستغلال معرفة مسبقة بالاسم والمسار الدقيق للملف المستهدف، حيث لا يمكن تعداد محتويات الدليل. في البيئات المتكاملة مع Atlassian Crowd، قد يؤدي ذلك إلى سيطرة إدارية كاملة إذا تمكن المهاجم من قراءة ملف WEB-INF/classes/crowd.properties للحصول على بيانات الاعتماد بنص واضح، والتي يمكن استخدامها لاحقاً عبر Crowd REST API لإنشاء حسابات مسؤولين وهميين. تشير التقديرات إلى وجود حوالي 700,000 نسخة من Confluence معرضة للخطر. تم رصد محاولات استغلال فعلية، بما في ذلك مئات الطلبات التي استهدفت نقاط النهاية /download/resources/ و /s/1.0/ /download/resources/.

التوصيات تحديث Bitbucket Data Center إلى الإصدار 9.4.26 أو 10.2.8 أو 10.5.1. تحديث Confluence Data Center إلى الإصدار 9.2.26 أو 10.2.19. تحديث Crowd Data Center إلى الإصدار 6.3.7 أو 7.0.3 أو 7.1.7 أو 7.2.4. تحديث Jira Software Data Center إلى الإصدار 9.12.40 أو 10.3.26 أو 11.3.12. تحديث Jira Service Management Data Center إلى الإصدار 5.12.40 أو 10.3.26 أو 11.3.12. تحديث Bamboo Data Center إلى الإصدار 10.2.24 أو 12.1.12. تحديث Crucible إلى الإصدار 4.9.15. تحديث Fisheye إلى الإصدار 4.9.15. كإجراء تخفيف مؤقت، يجب تقييد الوصول إلى الشبكة الخارجية للنسخ المصابة. تطبيق قاعدة جدار حماية تطبيقات الويب (WAF) لحظر الطلبات التي تحتوي على .. بجوار / أو `` أو :: مباشرة. بالنسبة لـ Confluence، قم بتفعيل RewriteValve الخاص بـ Tomcat وتكوين rewrite.config لحظر أنماط تخطي المسار الخبيثة. في حال استخدام تكامل Crowd، يجب تغيير application.password في ملف crowd.properties ومراجعة سجلات Crowd للبحث عن أي إنشاء مستخدمين أو تغييرات في المجموعات غير مصرح بها.