[TLP:CLEAR] Atlassian opravuje kriticky závažnou zranitelnost ve svých produktech

Atlassian opravuje kriticky závažnou zranitelnost v různých produktech [1]. Produkty a jejich opravené verze: Bitbucket Data Center - 9.4.26, 10.2.8, 10.5.1 Confluence Data Center - 9.2.26, 10.2.19 Jira Service Management Data Center - 5.12.40, 10.3.26, 11.3.12 Jira Software Data Center - 9.12.40, 10.3.26, 11.3.12 Bamboo Data Center - 10.2.24, 12.1.12 Crowd Data Center - 6.3.7, 7.0.3, 7.1.7, 7.2.4 Crucible - 4.9.15 Fisheye - 4.9.15

Atlassian Bitbucket Data Center, Confluence Data Center, Jira Service Management Data Center, Jira Software Data Center, Bamboo Data Center, Crowd Data Center, Crucible a Fisheye - arbitrary file access (CVE-2026-21589)
CVSS 9.3 (Critical)

Neautentizovanému vzdálenému útočníkovi je za předpokladu znalosti přesného názvu a cesty k cílovému souboru umožněno přistupovat ke specifickým souborům v kořenovém adresáři webové aplikace (bez možnosti enumerace obsahu), což může vést k odhalení citlivých informací [1]

Zranitelnost se nachází v produktech:

  • Bitbucket Data Center;>=9.4, <9.4.26;>=10.2, <10.2.8;>=10.5, <10.5.1;
  • Confluence Data Center;>=9.2, <9.2.26;>=10.0, <10.2.19;
  • Jira Service Management Data Center;>=5.12, <5.12.40;>=10.3, <10.3.26;>=11.3, <11.3.12;
  • Jira Software Data Center;>=9.12, <9.12.40;>=10.3, <10.3.26;>=11.3, <11.3.12;
  • Bamboo Data Center;>=10.2, <10.2.24;>=12.1, <12.1.12;
  • Crowd Data Center;>=6.3, <6.3.7;>=7.0, <7.0.3;>=7.1, <7.1.7;>=7.2, <7.2.4;
  • Crucible;>=4.9, <4.9.15;
  • Fisheye;>=4.9, <4.9.15;

CVSS: CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:N/VA:N/SC:H/SI:H/SA:H

Více informací:

  • CVE-2026-21589 na cve.org, NVD
  • CWE-22: Improper Limitation of a Pathname to a Restricted Directory ('Path Traversal') na cwe.mitre.org

Zranitelnost byla veřejně oznámena 5. 10. 2026.

Za CESNET, z.s.p.o. Táňa Macháčková dne 6. 10. 2026.

CESNET, z.s.p.o. Logo