CVE-2026-21589: divulgação de arquivos em produtos Atlassian

Pesquisadores do watchTowr Labs investigaram a vulnerabilidade crítica CVE-2026-21589, que afeta vários produtos Atlassian auto-hospedados: Jira, Confluence, Bitbucket, Bamboo e outros. A vulnerabilidade foi causada por um erro na biblioteca compartilhada atlassian-plugins-webresource, que lida com recursos web. A vulnerabilidade permite que um usuário não autenticado leia arquivos arbitrários dentro do diretório web da aplicação.

Ao processar requisições HTTP, a biblioteca substitui / por ::, e depois restaura os separadores de caminho originais. Os pesquisadores descobriram que essa normalização possibilita contornar a validação de caminho e injetar uma sequência de path traversal. Como resultado, eles conseguiram ler arquivos como WEB-INF/web.xml por meio de endpoints de carregamento de recursos acessíveis externamente. Em algumas configurações, arquivos acessíveis podem conter credenciais de integração e outros segredos. A Atlassian lançou correções para os produtos afetados.

Explorar a vulnerabilidade permite que um atacante acesse arquivos de configuração, dados de origem e segredos armazenados no servidor da aplicação sem autenticação. Em particular, os pesquisadores demonstraram uma cadeia na qual a leitura de crowd.properties revelou a senha para integração com o Atlassian Crowd — o sistema centralizado de gerenciamento de contas. Se o Crowd estivesse acessível usando essas credenciais, o atacante poderia criar usuários e alterar seus privilégios, potencialmente obtendo acesso administrativo ao Jira.

Artigo: https://labs.watchtowr.com/you-wont-hear-about-these-even-in-myths-atlassian-jira-confluence-and-more-pre-auth-arbitrary-file-read-cve-2026-21589/