CVE-2021-26074

Atlassian Connect Spring Boot, versões 1.1.0 a 2.1.2

O problema diz respeito a uma falha na autenticação no Atlassian Connect Spring Boot, um pacote Java Spring Boot para a criação de aplicativos Atlassian Connect. A autenticação entre os produtos da Atlassian e o aplicativo ocorre por meio de um JWT servidor-para-servidor ou um JWT de contexto. No entanto, as versões do Atlassian Connect Spring Boot da 1.1.0 até a 2.1.3 aceitam incorretamente JWTs de contexto em pontos de extremidade do ciclo de vida, como a instalação, onde apenas JWTs servidor-para-servidor deveriam ser aceitos. Isso permite que um invasor envie eventos de reinstalação autenticados para um aplicativo.

Para as versões 1.1.0 a 2.1.2 do Atlassian Connect Spring Boot, atualize para a versão 2.1.3 ou posterior para resolver o problema. Como solução alternativa temporária, considere restringir o acesso a pontos de extremidade do ciclo de vida, como a instalação, para minimizar o risco de exploração.