CVE-2021-26073

Atlassian Connect Express, versões 3.0.2 a 6.6.0

O problema diz respeito a uma falha na autenticação no Atlassian Connect Express, um pacote Node.js para a criação de aplicativos Atlassian Connect. A autenticação entre os produtos Atlassian e o aplicativo Atlassian Connect Express ocorre por meio de um JWT servidor-a-servidor ou de um JWT de contexto. No entanto, as versões do Atlassian Connect Express de 3.0.2 a 6.6.0 aceitam incorretamente JWTs de contexto em pontos de extremidade do ciclo de vida, como a instalação, onde apenas JWTs servidor-a-servidor deveriam ser aceitos. Isso permite que um invasor envie eventos de reinstalação autenticados para um aplicativo.

Para as versões 3.0.2 a 6.6.0, atualize para a versão 6.6.0 ou posterior para resolver o problema. Como solução alternativa temporária, considere restringir o acesso a pontos de extremidade do ciclo de vida, como a instalação, para minimizar o risco de exploração. Evite usar JWTs de contexto nesses pontos de extremidade até que o problema seja resolvido.